CrystalX 大鼠

CrystalX 是一款遠端存取木馬 (RAT)，以惡意軟體即服務 (MaaS) 模式分發，並透過 Telegram 頻道積極推廣。其主要目的是從受感染的系統中竊取敏感訊息，同時實現對受感染設備的完全遠端控制。除了核心惡意功能外，它還整合了惡作劇軟體功能。一旦偵測到 CrystalX，強烈建議立即將其移除，以防止進一步的損害。

演變與起源：惡意程式碼的重塑

CrystalX並非全新的威脅，而是先前已知的惡意軟體的重新包裝版本，最初名為Webcrystal RAT。其架構和控制介面似乎源自於WebRAT或Salat Stealer等早期威脅。這种血緣關係凸顯了其基於成熟的惡意框架，並被重新打包，作為網路犯罪分子使用的商業工具進行積極推廣。

客製化和規避能力

內建的建置工具可讓攻擊者產生客製化的 CrystalX 變種。這種客製化使攻擊者能夠修改 CrystalX 的行為並有效規避偵測機制。可用的配置選項包括：

• 限制在特定地理區域執行
• 實施反分析和反檢測技術
• 修改檔案屬性（例如圖示）使其看起來合法

這些特性顯著增強了惡意軟體繞過安全防禦並在運行過程中保持不被偵測的能力。

資料竊取和憑證盜竊

CrystalX 程式一旦執行，便會與命令與控制 (C2) 伺服器建立通信，並傳輸初始系統資訊。隨後，它會從受感染的設備中竊取敏感資料。目標資訊包括來自 Steam、Discord 和 Telegram 等常用平台的憑證，以及基於 Chromium 核心的 Web 瀏覽器中儲存的資料。所有收集到的資料都會洩漏回攻擊者的基礎設施，以便進一步利用。

監視和金融剝削技術

CrystalX 整合了多種監控和金融盜竊機制。其鍵盤記錄功能可擷取鍵盤輸入，從而收集登入憑證、支付卡資訊和其他機密資訊。此外，該惡意軟體還會向 Chrome 或 Edge 瀏覽器注入惡意擴充程序，實現剪貼簿監控。

當複製的內容中偵測到加密貨幣錢包位址時，惡意軟體會將其替換為攻擊者控制的位址。這種剪貼簿劫持技術會在受害者不知情的情況下重定向金融交易。除了竊取加密貨幣之外，剪貼簿篡改還可用於攔截其他敏感資訊。

完整的系統控制和遠端訪問

CrystalX 提供強大的遠端管理功能，實際上賦予攻擊者對受感染系統的完全控制權。這些功能包括：

• 執行任意命令和上傳文件
• 瀏覽和修改所有磁碟機和目錄中的文件
• 透過遠端桌面存取和控制系統（類似VNC的功能）
• 在用戶不知情的情況下啟動麥克風和攝影機。

這種層級的存取權限可以實現持續監控、資料篡改和進一步的系統破壞。

心理操控和乾擾特徵

除了間諜功能外，CrystalX 還整合了旨在騷擾或操縱受害者的破壞性和欺騙性功能。這些功能包括更改桌面設定、旋轉顯示器、交換滑鼠控制以及產生不規則的遊標移動。該惡意軟體還可以停用系統實用程式、隱藏桌面元素並顯示誤導性的彈出訊息。內建的聊天功能允許攻擊者和受害者直接溝通，這可能會增加心理壓力或方便進行社會工程攻擊。

傳播方式及感染媒介

CrystalX 通常透過各種欺騙性和惡意傳播機制傳播。當使用者與被入侵或惡意的檔案（例如可執行檔案、壓縮檔案、腳本或文件格式，如 Office 檔案和 PDF 檔案）互動時，通常會發生感染。

常見的傳播管道包括電子郵件附件、釣魚連結、利用軟體漏洞、虛假技術支援、被入侵或惡意網站、盜版軟體、破解工具、惡意廣告、受感染的 USB 裝置、點對點網路和第三方下載平台。

風險評估：高影響威脅

CrystalX 是一款功能極為強大且危險的遠端存取木馬 (RAT)，其功能涵蓋資料竊取、監控、金融詐欺和系統全面入侵。它兼具隱蔽性、可自訂性和廣泛的功能，使其成為網路安全領域的一大威脅。成功感染會導致身分盜竊、經濟損失、帳戶被盜用以及長期的隱私洩露，因此主動檢測和快速事件回應至關重要。