#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Крипто-дроппер Noir использует обфусцированный JavaScript, DNS TXT-записи и публичные сервисы DoH для динамического определения заменяемой backend-инфраструктуры. Фальшивые страницы, связанные с криптовалютами, побуждают жертв подключать свои кошельки, после чего Noir адаптирует процесс кражи, используя обманные разрешения на расход средств, а не запрашивая seed-фразы или закрытые ключи. Он может использовать резервную инфраструктуру и разрывать сессии WalletConnect, чтобы скрыть свою активность.
-----

Набор инструментов для кражи средств из криптокошельков Noir использует записи DNS TXT и общедоступные сервисы DNS-over-HTTPS (DoH) для динамического определения своей операционной инфраструктуры. Жертв, как правило, направляют на поддельные страницы криптоголосований, аирдропов, листингов, децентрализованных бирж или проверки соответствия требованиям, которые побуждают их подключить кошелёк. Сам приманка не содержит постоянной ссылки на бэкенд инструмента для кражи средств. Вместо этого встроенный загрузчик на JavaScript декодирует замаскированный массив десятичных кодов символов, выполняет его и запрашивает запись TXT по адресу `_r.noir.black` через нескольких провайдеров DoH, включая Google Public DNS и конечные точки Cloudflare. Первая валидная реакция определяет активный пул инструментов для кражи средств, в который входили домены, размещённые на Cloudflare Pages.

Данная архитектура разделяет долговечные приманочные страницы и заменяемую инфраструктуру бэкенда. Операторы могут изменить одну запись DNS TXT, чтобы перенаправить существующие приманки на новый пул, если хост заблокирован или удалён. По имеющимся данным, загрузчик использует кэш с тайм-аутом 60 секунд и логику повторных попыток для обеспечения восстановления при изменениях инфраструктуры. Он также запрашивает дорожную конфигурацию у API по адресу `noir.black`; ответ может предоставить независимо разрешённый резервный пул в случае сбоя прямого доступа через DoH. Разрешение DNS и получение конфигурации выполняются параллельно для снижения задержки. Возвращённая конфигурация определяет, будет ли дрэйн-скрипт внедрён в существующую приманочную страницу или отображён в прозрачной рамке, занимающей всё видимое поле.

Noir не требует от жертв предоставления seed-фраз, паролей или закрытых ключей. После получения начальных разрешений на чтение данных кошелька он анализирует конкретный кошелёк и разрабатывает индивидуальный план кражи. Затем он запрашивает разрешения на расходование средств, которые могут выглядеть менее подозрительно, чем прямой перевод, и осуществляет кражу активов с инфраструктуры, контролируемой злоумышленником. После завершения процесса набор инструментов разрывает сессию WalletConnect, удаляя вредоносное приложение из списка подключённых приложений кошелька и сокращая видимые следы компрометации. Использование публичного DoH, DNS-основанной живой конфигурации, пулов, размещённых в облаке, резервной инфраструктуры и принятия решений для каждого кошелька обеспечивает устойчивость и поддерживает оперативные изменения в ходе проведения операций.