CSArhontHardwarePreambleStealer là một định danh do CyStack đặt cho một phần mở đầu phần cứng (hardware preamble) đã bị cắt giảm chỉ còn 3 trường, được quan sát bên trong các gói tổng hợp (aggregator pack) CryptogoL #<N> (TG @ArhontCorp).rar tại các đường dẫn thư mục nạn nhân <CC>_<Prefix>_<DD.MM.YYYY> (TG @ArhontCorp)/ Information.txt (tên tệp chữ I hoa).
Gói này chứa ba tệp theo từng nạn nhân, mỗi tệp có cấu trúc dữ liệu nội dung bị cắt giảm khác nhau: một Info.txt chứa phần thân YAML chuẩn của Remus Stealer (được xử lý theo hồ sơ Remus với lớp phủ thương hiệu panel Bugatti Private Cloud), một information.txt chữ thường mang phần mở đầu định danh gồm 6 trường (được xử lý theo hồ sơ CSArhontIdentityStealer), và tệp Information.txt chữ I hoa này chỉ mang ba trường phần cứng.
Các trường trong phần thân: CPU (quy ước dấu hai chấm có khoảng trắng đệm, thụt đầu dòng 1 khoảng trắng), RAM (cùng quy ước), GPU (cùng quy ước). Không có thông tin hệ thống, không có thông tin mạng, không có thông tin xác thực. Kênh Telegram @ArhontCorp được xác nhận là một thương hiệu tổng hợp log (log-aggregator) và bán lại nói tiếng Nga (danh mục darkhive-breaches của HEROIC: Private Russia 34 TG ArhontCorp, KATANA CLOUD PRIVATE TG ArhontCorp, Slurm Private TG ArhontCorp, FateTraffic TG ArhontCloud). Không có nguồn công bố nào quy kết cấu trúc dữ liệu phần mở đầu phần cứng bị cắt giảm này cho một bộ công cụ builder cụ thể.
Việc quy kết họ mã độc là tạm thời, chờ một ánh xạ tình báo mối đe dọa đã được công bố. Trong quá trình phân loại ban đầu (triage), hãy coi nhãn này là dấu hiệu "phần mở đầu phần cứng của nạn nhân được giữ lại dưới hình thức phân phối lại @ArhontCorp": các giá trị CPU / RAM / GPU vẫn được truyền qua IOC và có thể dùng để đối chiếu xoay trục (pivoting) giữa các mẫu ngay cả khi không có quy kết họ mã độc nền tảng. Tệp Info.txt liên quan mang phần thân YAML của Remus với liệt kê đầy đủ về hệ thống / định danh / phần mềm diệt virus; tệp information.txt liên quan mang phần mở đầu định danh gồm 6 trường (bộ ba MachineID / GUID / HWID).
