Katz Stealer：以你的数据为目标的数字扒手

Katz Stealer 是什么？它为何重要？

Katz Stealer 是一款数据收集工具，专门用于从其入侵的设备中收集敏感信息。与破坏文件或索要赎金等更具攻击性的威胁不同，这种工具在后台悄无声息地运行——它的目标是观察、提取和窃取数据。它主要针对登录信息、加密货币钱包、浏览器数据以及其他个人或财务记录。Katz 尤其值得关注的是其分发模式：它以恶意软件即服务 (MaaS) 的形式进行营销，这意味着它会被出售给网络犯罪分子，然后他们可以利用它来进行自己的攻击活动。

伪装与欺骗：如何入侵

Katz Stealer 的渗透过程既巧妙又灵活。它通常隐藏在压缩包中，例如 GZIP 文件，并与看似普通的媒体或软件捆绑在一起。一旦打开，这些文件就会启动一个多阶段的感染链，通常以下载 PowerShell 脚本的 JavaScript 文件开始。然后，该脚本会调用 .NET 加载程序，将实际的恶意代码注入合法的系统进程。恶意软件隐藏在显而易见的地方，伪装成受信任的 Windows 应用程序运行。

反检测设计

Katz 的设计初衷是逃避检测，而非对抗。它拥有一系列技巧，避免在分析过程中被发现。例如，如果程序检测到自己正在虚拟机或沙盒中执行（这些环境是网络安全研究人员经常使用的环境），它会立即关闭。它还使用一种名为“进程挖空”（process hollowing）的策略，将代码插入合法进程，使其更难被发现。此外，Katz 还使用地理围栏：如果它确定设备位于特定区域，它可能根本不会继续执行任何活动。

Katz 窃贼真正想要什么

Katz 的核心是一个信息窃取工具。它首先收集设备数据，例如操作系统详细信息、硬件规格、IP 地址和语言设置。然而，它的主要目标是网络浏览器和扩展程序。它专注于基于Chromium的浏览器（例如 Chrome、Brave 和 Edge）以及基于Gecko的浏览器（例如 Firefox）。它会从这些浏览器中提取浏览历史记录、已保存的密码、Cookie 和其他敏感记录。特别是，它会查找与加密货币相关的浏览器扩展程序，并从其中 100 多个扩展程序中提取数据。

加密货币及其他

Katz 的攻击范围远不止浏览器。它能够从桌面加密货币钱包、FTP 客户端、VPN 工具、电子邮件软件、游戏平台和即时通讯工具中提取信息。它还可以通过搜索通常与加密货币或金融相关的关键词来梳理用户文件。此外，它还可以截取桌面屏幕截图，甚至监控复制到剪贴板的数据。这使得它在用户复制密码、钱包地址或其他敏感信息时就可能将其捕获。

进入 TROX 窃贼：近亲

Katz 并非唯一一个仍在流传的数据窃贼。TROX Stealer也是同类型的另一个程序。与 Katz 类似，TROX 的设计初衷是隐秘运行，收集类似类型的信息，并将其反馈给攻击者。虽然它们在某些技术层面或交付方式上有所不同，但目标却一致：在不被发现的情况下窃取用户数据。即使攻击者缺乏技术知识，也能购买和部署这两种程序，这使得它们成为网络犯罪生态系统中极具吸引力的工具。

Katz病毒的幕后黑手及其传播方式

Katz 的创建者通常与部署者并非同一伙人。相反，他们更像是销售服务的开发者。通过将 Katz 作为移动即服务 (MaaS) 提供，他们允许买家开展自己的活动。这种分发模式意味着 Katz 的传播方式多种多样——从钓鱼邮件和欺骗性网站，到有毒的搜索结果和虚假的软件下载。一些用户可能会通过弹出窗口、可疑链接或被盗用的社交媒体账户接触到它。在其他情况下，Katz 可能与盗版软件或非官方游戏模组捆绑销售。

为什么意识是关键

Katz Stealer 的运行虽然悄无声息，但它的存在却会带来深远的影响。它可以危及从社交媒体登录信息到加密货币持有的一切信息。由于其隐秘的特性和不断演变的功能，它并不总是容易被发现。虽然许多用户认为恶意软件会发出响亮的警报或造成可见的损害，但像 Katz 这样的威胁证明，最有害的程序通常不会立即留下痕迹。

底线

避免像 Katz 这样的威胁需要的不仅仅是技术解决方案，更重要的是谨慎的行为。只从可信来源下载文件、避免可疑链接、不打开来自未知发件人的附件，这些都是基本做法。数字世界充斥着承诺、下载和弹出窗口。知道哪些是值得信任的，是确保安全还是数据被悄悄窃取的决定性因素。