ChocoShell — викрадач облікових даних на базі PowerShell, пов’язаний із кампанією CaptiveCrunch. Його код спрямований на отримання облікових даних браузерів, сеансових cookie, артефактів Microsoft TokenBroker та збережених паролів Wi-Fi. Він також реалізує механізми обходу захисту шифрування браузерів, ухилення від захисних засобів і завантаження додаткових компонентів.

Наш аналіз виявив помилку в механізмі визначення адміністративних прав ChocoShell. Під час виконання від імені локального адміністратора з розділеним токеном шкідливе ПЗ не розпізнало SID групи Administrators з атрибутом deny-only. Унаслідок цього замість прихованих механізмів підвищення привілеїв було викликано видимий запит UAC.

Динамічне тестування підтвердило успішне підвищення рівня цілісності з Medium до High та виконання закодованого допоміжного коду PowerShell. Водночас подальшого завантаження компонентів і збирання облікових даних в ізольованому середовищі не зафіксовано.

Звіт охоплює архітектуру виконання ChocoShell, можливості викрадення облікових даних, механізми командування та керування (C2), відповідність технікам MITRE ATT&CK і практичні можливості виявлення загрози на основі аналізу коду та лабораторної телеметрії.