CrystalX este o platformă malware-as-a-service recent documentată despre care cercetătorii spun că actorii amenințărilor au promovat prin canale private Telegram începând cu începutul anului 2026.Echipa Kaspersky Securelist spunemalware-ul combină accesul la distanță, furtul de acreditări, înregistrarea tastelor, deturnarea clipboard-ului, programele spion și instrumentele de întrerupere în stil farsă într-un singur pachet bazat pe abonament.
Campania iese în evidență pentru că nu se oprește la caracteristicile standard RAT.Securelist spuneCrystalX include, de asemenea, funcții care permit operatorilor să rotească ecranul victimei, să schimbe butoanele mouse-ului, să scrie text pe afișaj și să blocheze introducerea de la tastatură, alături de capabilități mai serioase, cum ar fi furtul de fișiere, camera web sau supravegherea desktopului și extragerea datelor din browser.
Acesta surprinde forma largă a amenințării, în special modelul de vânzări Telegram, setul de caracteristici stratificate și comportamentul anti-analiza. De asemenea, se potrivește cu descoperirea lui Kaspersky că CrystalX a evoluat din activitatea anterioară legată de Webcrystal RAT și a arătat asemănări puternice cu WebRAT, cunoscut și sub numele de Salat Stealer.
Cum este vândut CrystalX și de ce contează
Kaspersky spune că malware-ula apărut în martie 2026, după ce o campanie activă a promovat-o în chat-urile private Telegram. Cercetătorii spun că vânzătorul a oferit trei niveluri de abonament și a folosit tactici de marketing Telegram, cum ar fi sondaje, cadouri și promovarea funcțiilor pentru a atrage cumpărători.
Acest model de vânzări contează deoarece reduce bariera de calificare pentru infractorii cibernetici. În loc să-și construiască propria stivă de malware, cumpărătorii pot închiria un set de instrumente gata făcut cu un panou de control web și îl pot implementa cu un efort minim de dezvoltare. Cercetătorii în domeniul securității au urmărit acest model în economia malware de ani de zile, dar CrystalX adaugă acelei formule un amestec neobișnuit de larg de funcții de supraveghere și hărțuire.
A raportat și Kasperskycă primele victime observate au fost concentrate în principal în Rusia, deși malware-ul în sine nu include restricții geografice încorporate în mod implicit. Aceasta înseamnă că serviciul s-ar putea extinde rapid dacă cererea crește sau dacă operatorii își extind distribuția dincolo de canalele deja identificate.
Ce poate face CrystalX pe un PC infectat
La baza ei,CrystalX este un troian de acces la distanță. Securelist spune că poate executa comenzi, poate exfiltra fișiere, poate colecta acreditări, poate rula un keylogger, poate deturna conținutul clipboard-ului și poate oferi operatorului vizibilitate în direct de la distanță în sistemul victimei.
Malware-ul include, de asemenea, funcții de furt care vizează datele browserului, portofelele criptomonede și conturile de aplicații. Rezumatul public al Kaspersky spune că CrystalX poate fura active și acreditări cripto, oferind, de asemenea, atacatorilor control deplin asupra dispozitivului victimă.
Ceea ce îl face mai distinctiv este stratul de farsă. Aceeași platformă care fură date poate, de asemenea, să rotească ecranul, să miște cursorul în mod imprevizibil, să modifice comportamentul interfeței și să interfereze cu introducerea utilizatorului. Aceste funcții pot părea copilăresc, dar pot, de asemenea, să facă presiuni asupra victimelor, să perturbe munca și să creeze confuzie în timp ce atacatorul fură date în fundal.
Trucuri de evaziune de detectare și anti-analiza
Securelist spune că fiecare implant CrystalXeste comprimat cu zlib și criptat cu ChaCha20, ceea ce face analiza statică mai dificilă. De asemenea, generatorul le permite operatorilor să stabilească opțiuni anti-analiza în timpul construirii, inclusiv geoblocare și modificări cosmetice, cum ar fi pictograme personalizate.
În timpul execuției, malware-ul verifică semnele instrumentelor de analiză, virtualizare și depanare. Notele dvs. de exemplu verifică proxy-uri precum Fiddler, Burp Suite și mitmproxy, împreună cu bucle anti-depanare și detectarea VM. Raportul Kaspersky descrie, de asemenea, corecțiile de funcții care vizează AMSI, ETW și MiniDumpWriteDump pentru a reduce vizibilitatea apărătorilor și analiștilor.
Odată ce șterge aceste verificări, CrystalX se conectează la serverul său de comandă și control printr-o adresă URL WebSocket codificată. Domenii C2 publicate de Securelist, inclusivwebcrystal.lol,webcrystal.sbs, șicrystalxrat.top, pe care apărătorii îl pot folosi pentru blocare și vânătoare retrospectivă.
CrystalX dintr-o privire
| Zonă | Ce au raportat cercetătorii |
|---|---|
| Tip malware | Malware-as-a-service RAT |
| Canal de promovare | Grupuri și canale private Telegram |
| Funcții de bază | RAT, furator, keylogger, clipper, spyware |
| Funcții suplimentare | Funcții de farsă și hărțuire |
| Limba raportată | Merge |
| Model de control | Panou bazat pe web cu niveluri de abonament |
| Evaziune | Criptare, anti-depanare, verificări VM, corecție AMSI și ETW |
| Domenii C2 cunoscute | webcrystal.lol,webcrystal.sbs,crystalxrat.top |
La ce ar trebui să urmărească apărătorii
- Trafic WebSocket de ieșire neobișnuit către domenii nede încredere
- Procese care prezintă comportament anti-depanare sau anti-analiza
- Semne ale falsificării AMSI sau ETW pe punctele finale Windows
- Binare suspecte cu pictograme personalizate și încărcături utile ambalate sau criptate
- Furtul în clipboard, înregistrarea tastelor sau modelele de acces la acreditările browserului
- Conexiuni la domeniile de infrastructură CrystalX publicate
De ce această amenințare merită atenție acum
CrystalX reflectă o schimbare mai largă pe piața programelor malware. Platformele moderne MaaS nu se mai concentrează doar pe furt sau furt. Acestea includ supravegherea, furtul de acreditări, controlul de la distanță și managementul prietenos cu operatorul într-o singură ofertă comercială pe care o pot folosi chiar și actorii cu calificare mai mică.
Unghiul farselor poate atrage atenția, dar riscul real vine din caracteristicile mai silențioase din spatele lui. O victimă ar putea observa un ecran răsturnat sau o tastatură blocată, în timp ce atacatorul fură în liniște acreditările browserului, date din clipboard, informații despre portofel și alte materiale sensibile.
Kaspersky spune că CrystalX rămâne în curs de dezvoltare activă, ceea ce înseamnă că apărătorii ar trebui să se aștepte la noi variante, o infrastructură actualizată și o distribuție mai largă în timp. Acest lucru face ca actualizările de protecție a punctelor terminale, blocarea domeniilor și detectarea bazată pe comportament să fie mai importante decât să se bazeze pe o singură semnătură statică.
FAQ
Ce este CrystalX?
CrystalX este un troian de acces la distanță malware-as-a-service despre care Kaspersky spune că combină funcțiile RAT, spyware, stealer, keylogger, clipboard hijacker și prankware într-un singur pachet.
Cum este distribuit CrystalX?
Cercetătorii spun că operatorii l-au promovat prin canale private Telegram și au folosit un model de abonament cu mai multe niveluri.
Ce face CrystalX neobișnuit?
Setul său de funcții combină instrumente serioase de criminalitate cibernetică cu comenzi de întrerupere în stil farsă, cum ar fi răsturnarea ecranului și schimbarea butoanelor mouse-ului.
Ce ar trebui să facă organizațiile?
Blocați domeniile publicate, monitorizați traficul WebSocket, mențineți actuala protecție a punctelor terminale și investigați comportamentele anti-depanare, manipularea AMSI și furtul de acreditări pe sistemele Windows.