{"id":"2ff3e2a96a20772249ffc827a06aeedf","title":"Go Stealer — Go Stealer · 木马/恶意软件 · PE32","md5":"2ff3e2a96a20772249ffc827a06aeedf","sha256":"09a5ac4d28d4da76d8bb7ade1cb1707ab8c89b4cfec85b50e5de172cfb408ff4","family":"Go Stealer","apt":null,"verdict":null,"sample_type":"木马/恶意软件","lang":"Go","file_format":"PE32","compiler":"Go 1.18.x-1.24.0","published_at":"2026-08-04T16:00:00.000Z","summary":"该样本是一个使用 Go 1.18-1.24 编译的 全功能信息窃取器与远程访问木马（RAT），大小 12MB，集成了极其丰富的恶意功能模块。 信息窃取能力：通过内嵌的 go-sqlite3 库直接解析浏览器数据库文件，窃取超过 20 种浏览器（Chrome、Edge、Firefox、Opera、Brave、Vivaldi、Comodo IceDragon、SeaMonkey、Pale Moon、Chromium、Waterfox、K-Meleon、Cyberfox、BlackHaw 等）的登录凭证、Cookies、浏览历史。同时通过 andygrunwald/vdf 库解析 Steam 配置文件，窃取超过 15 种加密货币钱包（MetaMask、Trust Wallet、AtomicWallet、Exodus、Electrum、Coinbase、Bytecoin、TonKeeper、SuiWallet、Starcoin 等）。还针对 Telegram 和 Discord 进行会话窃取。 远控能力：通过 gorilla/websocket 建立 WebSocket 加密 C2 通道，支持 SOCKS5 代理。内嵌 tetratelabs/wazero WebAssembly 运行时，可动态执行服务端下发的 WASM 模块。具备进程注入（VirtualAllocEx/CreateRemoteThread）、命令执行（os/exec）、文件系统操作能力。 监控能力：通过 SetWindowsHookEx 实现键盘记录，通过 GDI/GDI+ API 实现屏幕截图，通过 WMI 查询系统信息（Win32_LogicalDisk 等）。 持久化：使用 COM 接口（capnspacehook/taskmaster）操作 Windows 任务计划程序（Task Scheduler），注册表操作（golang.org/x/sys/windows/registry）。 加密通信：集成完整的 FIPS 140 加密套件 — AES-CBC/GCM、ChaCha20-Poly1305、ECDH/ECDSA/Ed25519、RSA、SHA-256/384/512、BLAKE2、ML-KEM。支持 QUIC/HTTP3 传输协议，内置 DNS-over-HTTPS（1.1.1.1）。","url":"https://zseceye.com/report/2ff3e2a96a20772249ffc827a06aeedf","json_url":"https://zseceye.com/report/2ff3e2a96a20772249ffc827a06aeedf.json","html_url":"https://zseceye.com/report/2ff3e2a96a20772249ffc827a06aeedf","hash_urls":{"md5":"https://zseceye.com/hash/2ff3e2a96a20772249ffc827a06aeedf","sha256":"https://zseceye.com/hash/09a5ac4d28d4da76d8bb7ade1cb1707ab8c89b4cfec85b50e5de172cfb408ff4"},"search_urls":{"md5":"https://zseceye.com/?q=2ff3e2a96a20772249ffc827a06aeedf","sha256":"https://zseceye.com/?q=09a5ac4d28d4da76d8bb7ade1cb1707ab8c89b4cfec85b50e5de172cfb408ff4"},"sample_download_url":"https://zseceye.com/report/2ff3e2a96a20772249ffc827a06aeedf/sample","sample_filename":"09a5ac4d.zip","iocs":[],"ips":[]}