Phantom Stealer. Как «невидимка» ворует пароли и данные

Злоумышленники рассылают письма провокационного содержания на русском и английском языках — с темами вроде “See My Nude Pictures and Videos” и “Прикрепленная копия платежа №06162025”. Вложения, скрытые в архивах (.rar) с образами (.iso, .img), запускают вредоносную программу — Phantom Stealer, основную тему анализа F6.

Подобно Stealerium, Phantom Stealer предназначен для кражи конфиденциальных данных: он собирает пароли, финансовую информацию, содержимое браузеров и мессенджеров, делает скриншоты, захватывает нажатия клавиш, а также может отправлять собранные данные через Telegram, Discord или SMTP. В одном из случаев используется телеграм-бот под именем «papaobilogs», активно работающий с апреля 2025 года.

Анализ зараженных логов показал, что жертвами оказались организации из ретейла, промышленности, строительства и ИТ. В логах стилера были выявлены IP устройств, на которых был запущены образцы ВПО. IP-адреса зараженных устройств оказались связаны с 19 странами мира, включая США, Россию, Великобританию, Румынию, Испанию,  Венгрию, Казахстан, Азербайджан, Эстонию, Сербию, Швейцарию, Сингапур, Беларусь и другие. Согласно анализу F6, часть из них представляет собой виртуальные машины исследователей.

После запуска Phantom Stealer «прилипает» к системе: копируется в папки AppData и Temp, создает задачу в планировщике Windows и исключение для себя в Defender через PowerShell. Всё это позволяет сохранить устойчивость и скрытность.

Технический анализ показал, что Phantom Stealer существенно превосходит Stealerium по размерам и функциональности. Он содержит модули для работы с SQLite и криптографической библиотекой Bouncycastle, что увеличивает размер до ~6,5 MB. У него расширенные возможности сбора данных и антианализа: он проверяет окружение (антивирусы, виртуальные машины, песочницы), предотвращая обнаружение.

Эксперты также отметили, что части инфраструктуры Phantom Stealer и Stealerium пересекаются с Agent Tesla: в некоторых образцах использовался один и тот же почтовый аккаунт на Yandex, что может указывать на связь операторов или общий бэкенд.

Подробности в блоге компании