Разбор PhaaS-кампании против Steam: от BitB до инжекторов Prosper
Исследователи вскрыли масштабную PhaaS-кампанию (T1566.002, T1189), маскирующуюся под киберспортивные турниры FACEIT («FACEIT Cloud Events») для угона аккаунтов Steam и кражи инвентаря. Инфраструктура использует одноразовые фронтенды на доменах вида faceit-connection.<префикс>-league.pro (хостинг Ultahost), централизованную панель операторов waitingpanl.com (ASN H2NEXUS) и встроенный виджет поддержки Tawk.to (68adb78925236c1924467e9a).
Атака реализует четыре вектора компрометации: перехват учетных данных через фейковое модальное окно Browser-in-the-Browser (BitB), кражу активных мобильных сессий через перехват QRChallengeURL ([https://s.team/q/1/](https://s.team/q/1/)<id>), скам с подменой торговых обменов (trade-scam), а также доставку вредоносного ПО под видом «клиента античита» (эволюция от FaceitAC.exe в июле до FaceitAC.msi к сентябрю 2026 года).
// Метаданные инсталлятора и артефакты бинарников (Go)
Manufacturer: "Prosper"
BootstrapConfig: загрузка легитимного "FACEITInstaller_64.exe" (маскировка)
Payload: Activation (инжект в Steam, перехват steamLoginSecure) + Agent (C2)
Вектор доставки малвари: MSI-пакет разворачивает бинарники Activation и Agent, написанные на Go. В то время как Bootstrap скачивает настоящий установщик FACEIT для отвода глаз, пейлоад внедряется в процесс клиента Steam, извлекает валидные сессионные куки steamLoginSecure, подменяет интерфейсы поддержки и трейдов, а также связывается с C2-инфраструктурой (домен kakashki-v-karmashki[.]xyz за Cloudflare).
IOC
Домены:
faceit-connection.g1sh-league[.]pro
faceit-connection.gx2-league[.]pro
g1sh-league[.]pro
gx2-league[.]pro
g9sh-league[.]pro
g3sh-league[.]pro
waitingpanl[.]com
anticheat-client.faceit-cdn[.]net
kakashki-v-karmashki[.]xyz
IP:
192.142.45[.]220
82.41.181[.]167
185.139.215[.]162
45.144.53[.]193
193.41.200[.]101
193.41.200[.]102
Разное:
style.js
D2A40AE61CE391FBBC7EE02EEA4E63F6D85B21FB6CB434E46F18B24872AA582D
Tawk: 68adb78925236c1924467e9a / 1j3j99sn1
Title: FACEIT Cloud Events
MSI vendor: Prosper
Источник: статья подписчика
@poxek | @poxek_ai | MAX
Исследователи вскрыли масштабную PhaaS-кампанию (T1566.002, T1189), маскирующуюся под киберспортивные турниры FACEIT («FACEIT Cloud Events») для угона аккаунтов Steam и кражи инвентаря. Инфраструктура использует одноразовые фронтенды на доменах вида faceit-connection.<префикс>-league.pro (хостинг Ultahost), централизованную панель операторов waitingpanl.com (ASN H2NEXUS) и встроенный виджет поддержки Tawk.to (68adb78925236c1924467e9a).
Атака реализует четыре вектора компрометации: перехват учетных данных через фейковое модальное окно Browser-in-the-Browser (BitB), кражу активных мобильных сессий через перехват QRChallengeURL ([https://s.team/q/1/](https://s.team/q/1/)<id>), скам с подменой торговых обменов (trade-scam), а также доставку вредоносного ПО под видом «клиента античита» (эволюция от FaceitAC.exe в июле до FaceitAC.msi к сентябрю 2026 года).
// Метаданные инсталлятора и артефакты бинарников (Go)
Manufacturer: "Prosper"
BootstrapConfig: загрузка легитимного "FACEITInstaller_64.exe" (маскировка)
Payload: Activation (инжект в Steam, перехват steamLoginSecure) + Agent (C2)
Вектор доставки малвари: MSI-пакет разворачивает бинарники Activation и Agent, написанные на Go. В то время как Bootstrap скачивает настоящий установщик FACEIT для отвода глаз, пейлоад внедряется в процесс клиента Steam, извлекает валидные сессионные куки steamLoginSecure, подменяет интерфейсы поддержки и трейдов, а также связывается с C2-инфраструктурой (домен kakashki-v-karmashki[.]xyz за Cloudflare).
IOC
Домены:
faceit-connection.g1sh-league[.]pro
faceit-connection.gx2-league[.]pro
g1sh-league[.]pro
gx2-league[.]pro
g9sh-league[.]pro
g3sh-league[.]pro
waitingpanl[.]com
anticheat-client.faceit-cdn[.]net
kakashki-v-karmashki[.]xyz
IP:
192.142.45[.]220
82.41.181[.]167
185.139.215[.]162
45.144.53[.]193
193.41.200[.]101
193.41.200[.]102
Разное:
style.js
D2A40AE61CE391FBBC7EE02EEA4E63F6D85B21FB6CB434E46F18B24872AA582D
Tawk: 68adb78925236c1924467e9a / 1j3j99sn1
Title: FACEIT Cloud Events
MSI vendor: Prosper
Источник: статья подписчика
@poxek | @poxek_ai | MAX