SALATSTEALER

The threat actors also abuse the GitHub platform to host their payloads and scripts.

They either deliver a compressed archive containing a malicious executable file directly, or they provide a link to a compromised website.

SalatStealer est un malware de type infostealer développé en Go et distribué notamment via des logiciels piratés, des cheats de jeux vidéo et des campagnes de phishing.

On execution: mutex check ( checkDupe ), UAC bypass ( Elevate ), persistence via registry Run key and Task Scheduler...

a PowerShell script that disables Windows Defender five different ways, including a Group Policy key built to survive reboots and Defender updates.

the threat actor leverages PowerShell, BITSAdmin, and lightweight obfuscation techniques to stage and deploy SalatStealer

This campaign demonstrates how ClickFix-style social engineering continues to evolve through abuse of legitimate Windows tooling and user-assisted execution workflows.

They either deliver a compressed archive containing a malicious executable file directly, or they provide a link to a compromised website.

On execution: mutex check ( checkDupe ), UAC bypass ( Elevate ), persistence via registry Run key and Task Scheduler...

T1112 — Modify Registry (Defense Evasion)

the threat actor leverages PowerShell, BITSAdmin, and lightweight obfuscation techniques to stage and deploy SalatStealer

On execution: mutex check ( checkDupe ), UAC bypass ( Elevate ), persistence via registry Run key and Task Scheduler...

Pour échapper à la détection, le malware utilise plusieurs techniques d’évasion, notamment la compression de son code et la détection des environnements d’analyse.

T1027.002 — Obfuscated Files or Information: Software Packing (Defense Evasion)

the threat actor leverages PowerShell, BITSAdmin, and lightweight obfuscation techniques to stage and deploy SalatStealer

Pour échapper à la détection, le malware utilise plusieurs techniques d’évasion, notamment la compression de son code et la détection des environnements d’analyse.

T1112 — Modify Registry (Defense Evasion)

T1553.004 — Subvert Trust Controls: Install Root Certificate (Defense Evasion)

main.NtQuerySystemHandles -- Handle enumeration (LSASS targeting) main.findLsassProcess -- LSASS process location

Il intègre également des fonctionnalités de surveillance, comme l’enregistrement des frappes clavier et la capture d’écran, lui permettant de récupérer davantage de données sensibles.

Son objectif principal est de voler des données sensibles sur les systèmes Windows, notamment les identifiants de connexion, les cookies de navigation, les informations enregistrées dans les navigateurs et les données associées aux portefeuilles de cryptomonnaies.

MITRE ATT&CK Mapping Technique ID Implementation Credentials in Files T1552.001 Browser profile data, wallet files

Son objectif principal est de voler des données sensibles sur les systèmes Windows, notamment les identifiants de connexion, les cookies de navigation, les informations enregistrées dans les navigateurs et les données associées aux portefeuilles de cryptomonnaies.

En plus du vol d’informations, SalatStealer collecte des renseignements sur le système compromis, tels que la configuration de la machine, les logiciels installés et les informations utilisateur.

Pour échapper à la détection, le malware utilise plusieurs techniques d’évasion, notamment la compression de son code et la détection des environnements d’analyse.

T1614.001 — System Location Discovery: System Language Discovery (Discovery)

Son objectif principal est de voler des données sensibles sur les systèmes Windows, notamment les identifiants de connexion, les cookies de navigation, les informations enregistrées dans les navigateurs et les données associées aux portefeuilles de cryptomonnaies.

Il intègre également des fonctionnalités de surveillance, comme l’enregistrement des frappes clavier et la capture d’écran, lui permettant de récupérer davantage de données sensibles.

T1113 — Screen Capture (Collection)

Capability Functions Method ... Microphone ffwmic , getMics ffmpeg

Device discovery of this kind maps to MITRE ATT&CK T1125 (Video Capture), where threat actors profile the system's multimedia capabilities as a precursor to covert audio or video surveillance.

The transport layer uses gorilla/websocket over HTTPS with QUIC/HTTP3 support (via quic-go). The C2 path is /saat/ with a WebSocket session protocol ( wsSess ) for bidirectional command execution.

dead drop resolver (DDR) is any mechanism where malware fetches its command and control (C2) address at runtime from a third-party, cyberattacker-controlled location instead of hardcoding it. | The loader posts JSON-RPC to the same high-reputation crypto SaaS hosts that wallets and decentralized applications use (Infura, Cloudflare, Binance, publicnode), so host-only network signatures drown in false positives.

the threat actor leverages PowerShell, BITSAdmin, and lightweight obfuscation techniques to stage and deploy SalatStealer

The ABI-decoded response holds the C2 pointer. Operators pick the encoding: a plain UTF-8 URL, Base64, Base64 plus XOR, gzip plus Base64, or a bash one-liner.

The actual C2 connection uses WebSocket over TLS for command-and-control...

Les informations volées sont ensuite exfiltrées vers des serveurs C2 gérés par les attaquants.

“Hunt.io found a Windows stealer, tagged as SalatStealer, staged with a Defender-bypass script. The team treats it as a separate incident, not part of the camera hacking campaign.”

Windows teams should investigate broad security-tool exclusions.