CrystalX: RAT-пранкер, который оказался нормальным Go-стилером
CrystalX: RAT-пранкер, который оказался нормальным Go-стилером #go #RAT #DERP #Kaspersky #malware CrystalX легко продать как мемную малварь: она может крутить экран, менять обои, трясти курсор, блокировать клавиатуру и открывать чат с жертвой. Но если смотреть на технический разбор DERP, главный интерес не в "пранках". Перед нами коммерческий RAT с упаковщиком, зашифрованным Go-пейлоадом, WebSocket C2, persistence, антианализом и набором команд для удаленного контроля, кражи данных и давления на пользователя. Сначала про источник. DERP 18 мая 2026 разобрал конкретный семпл NursultanCracked.exe, а не всю экосистему CrystalX. Это важно: выводы по упаковке, ключам, build ID и IOC привязаны к этому образцу. Более широкий контекст про MaaS, Telegram/YouTube-продвижение, происхождение от WebCrystal RAT и сходство с WebRAT/Salat Stealer подтверждает отдельный отчет Kaspersky от 1 апреля 2026. В семпле DERP внешний файл выглядит как небольшой Windows loader: около 3 МБ, unsigned PE32+ x64 GUI, где почти весь размер сидит в .rsrc. Полезная нагрузка лежит в ресурсе 970 и разворачивается в Go RAT примерно на 6,9 МБ через три слоя: позиционный XOR, ChaCha20 и raw DEFLATE. Дальше пейлоад шифрует рабочие строки отдельно: Base64, AES-GCM, 12-байтовый nonce и 16-байтовый tag. После расшифровки DERP получил 265 строк: C2, токен билдера, build ID, имена persistence-артефактов, списки антианализа, пути браузеров, Telegram-клиентов, Discord, Steam и системные API. C2 у этого образца тоже достаточно показательный: wss://crystalxrat[.]net/api/ws, заголовок X-Builder-Token: zenc0rn, build ID YBFZUW1U32T. После TLS трафик идет обычными WebSocket-фреймами, а тело сообщений — JSON. Это не уникальный протокол, но для оператора удобно: живой канал управления, команды для rd_start / rd_stop, input events, webcam stream, chat_to_victim, файлового менеджера, clipboard, keylogger и cmd: через CreateProcessW. Самая неприятная часть — не визуальный шум, а сочетание удаленного доступа и закрепления. Семпл копирует себя в %LOCALAPPDATA%\Microsoft\DeviceMetadataStore\SecurityHealthSystray.exe, создает scheduled task NvContainerTask_YBFZUW1U32, startup shortcut Windows Security Health Service.lnk, WMI filter/consumer и mutex Global\WinSecMutex_YBFZUW1U32. Плюс добавляет Defender exclusions, отключает отдельные event logs и создает firewall rules System Network Service. Для защитника это уже не "смешной вирус", а нормальный post-compromise набор артефактов на Windows-хосте. Контекст Kaspersky дополняет картину, но не заменяет DERP. По их данным, CrystalX сначала всплыл в январе 2026 как WebCrystal RAT в приватных Telegram-чатах для RAT-разработчиков, затем получил ребрендинг, канал и YouTube-промо. Модель распространения — MaaS с несколькими тарифами. Набор возможностей: stealer, keylogger, clipper, spyware, remote access и отдельная секция "Rofl" для визуального и психологического давления на жертву. Вектор первичного заражения на момент публикации Kaspersky не был точно известен; телеметрия тогда указывала в основном на Россию, но сам MaaS географически не ограничен. Практический вывод: CrystalX стоит детектировать не по одному хэшу и не по слову "prankware". У DERP есть конкретные IOC — crystalxrat[.]net:443, crystalxrat[.]top, WebSocket path /api/ws, build ID YBFZUW1U32T, persistence path, scheduled task, WMI-артефакты и mutex. Но инфраструктура сидит за Cloudflare, а билдер подразумевает вариативность билдов, поэтому лучше совмещать сетевые индикаторы, host artifacts и поведенческие признаки: внезапные WMI consumers, подозрительные scheduled tasks под именами Security Health/NVIDIA, попытки выключить Defender/Sysmon, массовую чистку logs, WebSocket beaconing и доступ к браузерным/мессенджерским хранилищам. Источники отдельно: Основной технический разбор семпла: DERP, 18 мая 2026 Контекст по кампании и MaaS: Kaspersky Securelist, 1 апреля 2026 Дополнительное подтверждение функций и дат: Kaspersky Blog, SecurityWeek, HackMag