Troianul DarkCore preia sesiunile Gmail și WhatsApp și navighează de pe IP-ul victimei

Un troian de acces la distanță (RAT) numit DarkCore este vândut pe un forum underground cu un argument de vânzare neobișnuit: un browser integrat care încarcă cookie-uri de sesiune furate și își trimite traficul prin calculatorul infectat. Pentru Gmail, WhatsApp Web sau orice alt serviciu, activitatea atacatorului pare să vină de pe dispozitivul și din rețeaua obișnuită a victimei.

Ce s-a întâmplat

Anunțul, publicat la mijlocul lunii august 2026 și actualizat de atunci, prezintă DarkCore drept un RAT pentru Windows „de nivel superior”, destinat operatorilor care pun accent pe discreție. Lista de funcții arată ca un set complet de unelte: furt de credențiale și cookie-uri, transfer de fișiere, proxy invers, clipper, control la distanță prin desktop ascuns (HVNC) și transport opțional prin Tor. La momentul anunțului, versiunea curentă era 2.0.1.

Funcția principală este browserul dedicat. Materialele promoționale îl arată păstrând sesiuni pentru Gmail, WhatsApp, YouTube și MediaFire, cu cookie-uri recoltate de la o victimă injectate direct în sesiunea de navigare a atacatorului.

Aceste afirmații despre browser trebuie privite cu prudență. Analiza unei mostre reale a confirmat modul în care clientul este configurat și cum își încarcă modulele, dar funcțiile browserului rămân descrise de vânzător, nu validate independent. O captură promoțională cu 118 rânduri de credențiale nu spune nimic sigur despre numărul real de victime.

Cum ajunge pe calculator

Mostra a venit împreună cu un fișier de tip scurtătură Windows, deghizat cu o pictogramă PDF și denumit ca un vizualizator de rapoarte. La deschidere, pornește o fereastră de comandă minimizată care face două lucruri: descarcă un raport autentic al Băncii Mondiale pe care îl afișează utilizatorului și, separat, descarcă un executabil de pe un server la distanță. Comenzile sunt obfuscate prin tăierea șirurilor de caractere, eliminarea de caractere și expandarea CALL, iar scriptul încearcă să șteargă fluxul Zone.Identifier de pe ambele descărcări, ca Windows să afișeze mai puține avertismente.

Două detalii ies în evidență. Executabilul este descărcat chiar dacă PDF-ul momeală eșuează, iar comanda de lansare nu verifică niciodată dacă descărcarea a reușit. Nu se știe încă prin ce canal ajunge scurtătura la victime, iar pentru că payload-ul de la distanță nu a putut fi descărcat pentru a i se calcula hash-ul, nu este confirmat nici că fișierul servit live este același cu mostra analizată.

Ce a dezvăluit mostra

Binarul analizat este un executabil Windows pe 64 de biți, nesemnat. Configurația este protejată printr-o schemă simplă: o cheie de 32 de octeți este rotită și aplicată prin XOR peste 758 de octeți codificați. Odată decodate, setările arătau comunicare de comandă și control direct prin TCP, transporturile Tor și WebSocket dezactivate și indicatorii de instalare și persistență la pornire nesetați. Modulele suplimentare pot fi încărcate direct în memorie sau scrise pe disc ca fișiere DLL temporare.

De ce contează

Un cookie de sesiune este dovada unei autentificări deja reușite. Reluarea lui sare peste parolă și peste orice verificare în doi pași aplicată la conectare. Adaugă trafic care iese de pe adresa IP a victimei și dispar cele două semnale pe care se bazează majoritatea organizațiilor pentru a depista preluarea unui cont: o locație necunoscută și un dispozitiv neobișnuit. O adresă IP familiară nu dovedește că utilizatorul legitim este la tastatură.

Ce este de făcut

• Corelați telemetria de pe endpoint cu cea a conturilor. Căutați procese de linie de comandă care pornesc descărcări, lanțuri de procese suspecte sub fișiere scurtătură, executabile nesemnate cu nume care sugerează PDF-uri și conexiuni TCP de ieșire către porturi neașteptate. Jurnalele conturilor, singure, nu vor prinde acest atac.
• Tratați fișierele .lnk ca pe executabile. Blocați sau puneți în carantină scurtăturile primite prin e-mail sau descărcate și generați alerte când cmd.exe este lansat dintr-o scurtătură.
• Monitorizați manipularea Mark-of-the-Web. Ștergerea fluxului Zone.Identifier imediat după o descărcare este un semnal puternic.
• Dacă suspectați furt de sesiune, acționați asupra contului, nu doar asupra gazdei. Izolați endpoint-ul, păstrați probele, opriți orice transfer de fișiere, apoi revocați toate sesiunile active și resetați credențialele afectate. O schimbare de parolă fără revocarea sesiunilor îl lasă pe atacator conectat.
• Scurtați durata sesiunilor pentru conturile importante și legați sesiunile de caracteristicile dispozitivului acolo unde furnizorul de identitate permite.

Cookie-urile și credențialele furate cu unelte precum DarkCore ajung exact în piețele unde se vinde acest malware. Serviciul 4tify de monitorizare Deep/Dark Web urmărește aceste canale pentru domeniile, adresele de e-mail și sesiunile organizației tale, astfel încât un cont compromis să poată fi revocat înainte să fie revândut sau folosit.

Indicatori de compromitere

Indicatorii sunt defangați. Reactivați-i doar într-o platformă controlată de threat intelligence sau în SIEM.