Разбор PhaaS-кампании против Steam: от BitB до инжекторов Prosper — 30 сентября 2026 г. в 07:14:02.853
Разбор PhaaS-кампании против Steam: от BitB до инжекторов Prosper Исследователи вскрыли масштабную PhaaS-кампанию (T1566.002, T1189), маскирующуюся под киберспортивные турниры FACEIT («FACEIT Cloud Events») для угона аккаунтов Steam и кражи инвентаря. Инфраструктура использует одноразовые фронтенды на доменах вида faceit-connection.<префикс>-league.pro (хостинг Ultahost), централизованную панель операторов waitingpanl.com (ASN H2NEXUS) и встроенный виджет поддержки Tawk.to (68adb78925236c1924467e9a). Атака реализует четыре вектора компрометации: перехват учетных данных через фейковое модальное окно Browser-in-the-Browser (BitB), кражу активных мобильных сессий через перехват QRChallengeURL ([https://s.team/q/1/](https://s.team/q/1/)<id>), скам с подменой торговых обменов (trade-scam), а также доставку вредоносного ПО под видом «клиента античита» (эволюция от FaceitAC.exe в июле до FaceitAC.msi к сентябрю 2026 года). // Метаданные инсталлятора и артефакты бинарников (Go) Manufacturer: "Prosper" BootstrapConfig: загрузка легитимного "FACEITInstaller_64.exe" (маскировка) Payload: Activation (инжект в Steam, перехват steamLoginSecure) + Agent (C2) Вектор доставки малвари: MSI-пакет разворачивает бинарники Activation и Agent, написанные на Go. В то время как Bootstrap скачивает настоящий установщик FACEIT для отвода глаз, пейлоад внедряется в процесс клиента Steam, извлекает валидные сессионные куки steamLoginSecure, подменяет интерфейсы поддержки и трейдов, а также связывается с C2-инфраструктурой (домен kakashki-v-karmashki[.]xyz за Cloudflare). IOC Домены: faceit-connection.g1sh-league[.]pro faceit-connection.gx2-league[.]pro g1sh-league[.]pro gx2-league[.]pro g9sh-league[.]pro g3sh-league[.]pro waitingpanl[.]com anticheat-client.faceit-cdn[.]net kakashki-v-karmashki[.]xyz IP: 192.142.45[.]220 82.41.181[.]167 185.139.215[.]162 45.144.53[.]193 193.41.200[.]101 193.41.200[.]102 Разное: style.js D2A40AE61CE391FBBC7EE02EEA4E63F6D85B21FB6CB434E46F18B24872AA582D Tawk: 68adb78925236c1924467e9a / 1j3j99sn1 Title: FACEIT Cloud Events MSI vendor: Prosper Источник: статья подписчика @poxek | @poxek_ai | MAX