Зловредният софтуер Vidar пренаписва своята обфускация при всяко изграждане, за да затрудни откриването си

Vidar прекарва години в кражба на най-важните данни на потребителите: запазени пароли, бисквитки на браузъра, файлове с криптопортфейли и системни детайли. Сега неговите оператори са променили по-малко видима част от зловредния софтуер, правейки кода по-труден за разпознаване от защитниците, преди той да бъде изпълнен.

Забелязан за първи път през 2018 г., Vidar е софтуер за кражба на информация (information stealer), който остава активен чрез многократни пренаписвания. Неотдавнашни кампании подмамяха жертвите с фалшив софтуер, включително измамни инсталационни файлове и тегления, популяризирани чрез видео платформи, докато други операции използваха злонамерени хранилища и оферти за читове за игри.

Залогът е висок, тъй като откраднатите данни от браузъра могат да осигурят на киберпрестъпниците достъп до имейл, корпоративни приложения, финансови услуги и профили за криптовалута.

От Zscaler заявяват в доклад, споделен с Cyber Security News (CSN), че дори едно инфектирано работно устройство може да изложи на риск пароли за многократна употреба и активни сесии, създавайки път към по-широките бизнес системи. Изследователите от Zscaler идентифицираха промяната, след като проследиха Vidar от май до началото на септември 2026 г.

Компанията установи, че нейните методи за скриване на низове са се преместили от основно XOR криптиране, през променени ChaCha20 процедури, до персонализирана виртуална машина и потоков шифър, които се различават при всяко изграждане (build).

Vidar Malware Rewrites Its Obfuscation

Новият подход е насочен към низовете – четливите части от кода, които могат да разкрият команди, конфигурация, съобщения за грешки и планирани действия на зловредния софтуер.

Чрез различно скриване на тези улики във всяка версия, Vidar прави файловите сигнатури и автоматизирания анализ по-малко надеждни. В версии 2.x и 3.x зловредният софтуер стартова малка виртуална машина чрез интерпретатор на байткод.

Той обработва поредица от инструкции, които променят еднобайтова работна стойност и излъчват декодиран текст само в избрани точки. Дизайнът е прост, но нарочно непоследователен.

Изследователите откриха 14 манипулатора на инструкции в разпръсната таблица от 256 записа. Те извършват обичайни операции като събиране, изваждане, ротация, XOR, умножение и заместване, но опкодовете, константите и таблиците за търсене могат да се променят във всяко изграждане. Четирибайтов XOR ключ също се променя и захранва интерпретатора.

Това се различава от статичен пакер, който защитниците могат да разопаковат веднъж и да разпознават многократно. Vidar запазва същата функция, докато променя малките детайли, които едно правило за откриване може да очаква – проблем, който се вижда и в докладите за тайни кампании на Vidar, заобикалящи контролите за сигурност, за да събират идентификационни данни.

Виртуалната машина може директно да разкрие низ или да възстанови ключ и nonce, използвани за отключване на втори криптиран блок от данни. Този допълнителен етап означава, че анализаторите трябва първо да възпроизведат променящия се интерпретатор, преди да могат да видят част от съществения текст на зловредния софтуер.

Custom Ciphers Raise the Cost of Analysis

Vidar комбинира виртуалната машина с персонализиран потоков шифър. Версии 2.0 и 2.1 използваха модифициран дизайн, базиран на ChaCha, докато версия 2.2 и по-новите преминаха към метод add-rotate-XOR. Интерфейсът остава познат, но вътрешната аритметика и константи са различни при различните образци.

Този модел увеличава времето, необходимо за изследване на нов файл, и може да забави правилата, изградени около видими низове. Това не прави зловредния софтуер невидим, но пренасочва вниманието към поведението, активността на процесите, необичайните мрежови връзки и подозрителния достъп до данни от браузъра, вместо към един фиксиран шаблон на кода.

Промяната идва в момент, когато Vidar продължава да се появява в кампании за социално инженерство. Кампания с фалшив инсталатор на Gemini показа как изглеждащо надеждно изтегляне може да доведе до кражба на пароли от браузъра, докато фалшиви изтегляния на софтуер от YouTube също са използвани за достигане до служители.

Техниките за всяко отделно изграждане са предназначени да възпрепятстват статичния и автоматизирания анализ. Оценката подчертава защо екипите трябва да поддържат мониторинга на крайните точки актуален, да разследват необичайното събиране на данни от браузъра и да ограничават непотвърдените изтегляния на софтуер, преди потребителите да ги стартират.

Организациите трябва също така да нулират изложените на риск идентификационни данни и да отменят активните сесии след съмнение за инфекция, особено когато профилите в браузъра може да са съхранявали бизнес или административен достъп.

По-широкият извод е, че откриването трябва да проследява какво прави дадена програма, а не само как изглежда нейната структура на кода, тъй като активността по кражба на идентификационни данни от Vidar продължава да засяга потребителите на Windows.

Indicators of compromises (IoCs):-

Note: IP addresses and domains are intentionally defanged (e.g., [.]) to prevent accidental resolution or hyperlinking. Re-fang only within controlled threat intelligence platforms such as MISP, VirusTotal, or your SIEM.