KuinaExtractor: nowy stealer poluje na dane przeglądarek, portfele krypto i konta graczy
Badacze opisali rozwijający się od grudnia 2025 infostealer napisany w języku Rust. Wykrada dane logowania, ciasteczka i tokeny sesji, a od czerwca działa pod nazwą „k0to”.
Badacze z firmy Threatray opisali wcześniej nieudokumentowany infostealer napisany w języku Rust, nazwany KuinaExtractor. Od grudnia 2025 ewoluował od prototypu do dopracowanego narzędzia, które od 17 czerwca działa pod nową nazwą „k0to”.
Co potrafi KuinaExtractor
To klasyczny infostealer — złośliwe oprogramowanie nastawione na masowe wykradanie danych logowania. Już najwcześniejsze próbki zbierały ciasteczka przeglądarek, artefakty portfeli kryptowalut, dane z magazynu poświadczeń Windows oraz ciasteczka i tokeny sesji Roblox, sesje Steam i tokeny Discord.
Według analizy opisanej przez serwis GBHackers stealer zawierał też mechanizm obejścia szyfrowania App-Bound Encryption w przeglądarce Chrome. Pozwalał on odzyskiwać klucze główne, czyli docierać do zaszyfrowanych haseł i ciasteczek mimo zabezpieczeń producenta.
Łączna lista celów rozrosła się do około 40 przeglądarek. W marcowej wersji znalazła się m.in. wietnamska przeglądarka CocCoc — jeden z sygnałów wskazujących na wietnamskojęzycznego twórcę i infrastrukturę hostowaną w Wietnamie.
Stopniowe ukrywanie aktywności
Threatray zauważa, że kolejne wersje skupiały się nie tyle na nowych funkcjach, ile na ukrywaniu działania. W styczniu 2026 doszły rozpoznanie sprzętu, zbieranie nazw sieci Wi-Fi (SSID) oraz zrzut danych z Menedżera poświadczeń Windows.
Zmieniał się też kanał wyprowadzania danych. Wczesne próbki korzystały z webhooka Discorda, później przeszły na bota Telegrama. Marcowa odmiana dodała wykrywanie maszyn wirtualnych i piaskownic — typowe techniki utrudniające analizę.
Czerwcowy „k0to” poszedł dalej. Wbudowano w niego własny stos HTTP z własnymi certyfikatami CA, by ominąć systemowy magazyn TLS, a kluczowe ciągi znaków, w tym adres serwera sterującego na Telegramie, ukryto przez obfuskację XOR. Kanał Telegrama przestawiono na jednokierunkowy — przyjmuje przesyłane pliki, lecz nie odpytuje o polecenia. To redukuje widoczne ślady w sieci i komplikuje wykrycie.
Kogo to dotyczy
Stealer celuje w dane wartościowe na nielegalnych rynkach: poświadczenia bankowe i pocztowe, portfele kryptowalut oraz konta usług popularnych zwłaszcza wśród graczy. Roblox, Steam i Discord to atrakcyjne cele, bo przejęte konta łatwo odsprzedać lub wykorzystać do dalszych oszustw.
Ryzyko obejmuje więc zarówno zwykłych użytkowników, jak i osoby trzymające środki na giełdach kryptowalut. Przejęcie ciasteczek sesyjnych bywa groźniejsze od kradzieży samego hasła — pozwala zalogować się bez podawania danych i czasem z pominięciem dodatkowego uwierzytelnienia.
Jak ograniczyć ryzyko
Infostealery najczęściej trafiają na komputer wraz z plikiem pobranym z niepewnego źródła lub załącznikiem. Stąd podstawą jest ostrożność przy instalacji oprogramowania i otwieraniu plików.
- Pobieraj programy wyłącznie z oficjalnych stron i sklepów.
- Włącz uwierzytelnianie dwuskładnikowe (MFA) na koncie pocztowym, giełdach i komunikatorach.
- Kryptowaluty o większej wartości trzymaj w portfelu sprzętowym, nie na koncie giełdowym.
- Regularnie aktualizuj system, przeglądarkę i program antywirusowy.
- Po podejrzeniu infekcji zmień hasła z czystego urządzenia i wyloguj aktywne sesje.
Dla zespołów bezpieczeństwa istotne sygnały to nietypowe odwołania do Telegrama, własne stosy TLS pomijające systemowy magazyn certyfikatów oraz ruch wyprowadzania danych ograniczony do jednego kierunku. KuinaExtractor pokazuje, że pojedynczy operator potrafi przez pół roku konsekwentnie utwardzać narzędzie. Warto śledzić kolejne raporty, bo rebranding na „k0to” raczej nie kończy tej historii.
