💎 CrystalX RAT: новая .net-инфраструктура MaaS-трояна
🛰 Подразделение CRATU зафиксировало новые индикаторы трояна CrystalX RAT.
Что такое CrystalX RAT?
CrystalX RAT — коммерческий троян удалённого доступа, распространяемый по модели Malware-as-a-Service.
Впервые он был замечен в январе 2026 года в закрытом Telegram-сообществе разработчиков RAT под названием Webcrystal RAT.
Позднее автор провёл ребрендинг и переименовал продукт в CrystalX RAT.
Активную кампанию исследователи Kaspersky обнаружили в марте 2026 года.
Троян написан на Go. После запуска он устанавливает WebSocket-соединение с C2, собирает информацию о системе и активирует выбранные оператором модули.
В его арсенале:
🔸 кража данных Discord, Steam и Telegram;
🔸 извлечение данных Chromium-браузеров;
🔸 отдельная работа с Yandex Browser и Opera;
🔸 кейлоггер с передачей нажатий в реальном времени;
🔸 чтение и подмена буфера обмена;
🔸 браузерный clipper для подмены криптовалютных адресов;
🔸 выполнение команд через cmd.exe;
🔸 загрузка и выгрузка файлов;
🔸 собственный VNC для управления экраном;
🔸 запись микрофона и камеры;
🔸 двусторонний чат с жертвой;
🔸 prankware-функции: поворот экрана, блокировка ввода, изменение обоев и другие «розыгрыши».
MaaS-панель
Панель CrystalX содержит авто-билдер, в котором оператор может настроить:
🔸 географическую блокировку;
🔸 проверки виртуальной среды;
🔸 anti-debug;
🔸 обход AMSI и ETW;
🔸 внешний вид файла;
🔸 набор активных модулей.
На момент исследования попытки заражения наблюдались преимущественно в России, но сама MaaS-платформа региональных ограничений не имеет.
Техники MITRE ATT&CK
🌐 T1071.001 — Web Protocols / WebSocket
📤 T1005 — Data from Local System
⌨️ T1056.001 — Input Capture: Keylogging
🔑 T1555.003 — Credentials from Web Browsers
🛡 T1497.001 — System Checks
🧩 T1059.003 — Windows Command Shell
Характер текущей активности
В IOC-наборе CRATU зафиксированы:
🌐 crystalxrat[.]net
🧬 4 SHA256-индикатора
Этот домен относится к более поздней инфраструктуре CrystalX. В первоначальном апрельском исследовании Kaspersky фигурировали:
webcrystal[.]lol
webcrystal[.]sbs
crystalxrat[.]top
Четыре текущих SHA256 отражают элементы одной многослойной цепочки:
🔸 первоначальный загрузчик;
🔸 распакованный Go-payload;
🔸 зашифрованный ресурс;
🔸 дамп загруженного в память модуля.
Основной C2-канал для этой версии:
wss[:]//crystalxrat[.]net/api/ws
🛡 Рекомендации по детектированию
Следует контролировать:
🔸 DNS, SNI и proxy-события по точному домену crystalxrat[.]net;
🔸 неизвестный исполняемый файл, устанавливающий постоянное WebSocket-соединение сразу после запуска;
🔸 JSON-обмен с одним внешним узлом после первичного сбора системных данных;
🔸 создание новых задач планировщика, WMI-persistence или ярлыков в Startup;
🔸 появление неизвестного файла в %LOCALAPPDATA% под именем системного компонента;
🔸 запуск временного svc*.exe для извлечения данных Chromium;
🔸 доступ одного процесса к Discord, Steam, Telegram и профилям нескольких браузеров;
🔸 попытки отключения ETW, AMSI, журналирования или изменения Windows Firewall.
Определить Go-приложение только по сетевым событиям невозможно. Признаки Go runtime полезны при статическом анализе файла, но в SIEM важнее цепочка процессов, persistence и WebSocket-C2.
Частые небольшие пакеты также не являются надёжным признаком кейлоггера сами по себе. Нужен контекст процесса и постоянной WebSocket-сессии.
