Форензика после катастрофы: как восстановить цепочку атаки банковского трояна с уничтоженного диска

В конце февраля 2026 года команда по расследованию инцидентов столкнулась с классической атакой на бухгалтера: фейковое обновление Windows и параллельные несанкционированные операции в интернет-банке. Уникальность ситуации заключалась в том, что к моменту начала расследования 90% цифровых улик, включая журналы событий, тело вредоносной программы и дамп оперативной памяти, были уничтожены переустановкой системы. Тем не менее, анализ оставшихся 10% данных - свободных секторов диска - позволил полностью реконструировать сложную многостадийную атаку с использованием современных троянов и сервисов доставки вредоносного ПО.

Ключом к успеху стал нетривиальный подход к анализу сырого диска объёмом 930 ГБ. Вместо поиска по целым файлам, которые были утрачены, специалисты применили полнодисковое извлечение строк с последующим паттерн-матчингом по двенадцати категориям индикаторов компрометации. Этот метод позволил выудить из неиспользуемых областей накопителя фрагменты кода, конфигурации и команды. Однако первая же проблема, с которой столкнулись аналитики, - лавина ложноположительных срабатываний. Около 96% совпадений по названиям вредоносных семейств, таких как FormBook или Buhtrap, на самом деле оказались строками из сигнатурных баз антивируса Windows Defender, хранящихся в VDM-файлах. Фильтрация данных по дисковым смещениям позволила отделить эти легитимные артефакты от реальных следов атаки, что является критически важным шагом для любого подобного расследования.

Настоящие улики были обнаружены среди других категорий. Например, паттерн поиска токенов Telegram Bot API выдал 262 кандидата, но после тщательной верификации лишь 23 из них оказались реальными ботами, используемыми для эксфильтрации данных. Контекст их использования, найденный в JavaScript-фрагментах, указывал на промышленный масштаб операции: злоумышленники применяли разнообразные схемы обфускации, используя переменные с именами "telegram_bot_id", "apikey" или просто "token". Все эти боты, судя по проверке через API, к моменту анализа были отключены, но единственный обнаруженный "chat_id" (6481270908) указывал на конечную точку сбора украденной информации. Ещё более ценным источником доказательств стал файл гибернации "hiberfil.sys". Несмотря на его перезапись новой ОС, в глубине диска сохранились фрагменты данных из оперативной памяти предыдущей системы. Их анализ подтвердил, что вредоносный код не просто лежал на диске, а активно исполнялся. В дампе памяти были найдены те же Telegram-токены, фрагменты JavaScript для отправки данных, а также Base64-кодированный заголовок фишинговой страницы Bank of America, что свидетельствовало о международном характере web-инжектов трояна.

Собрав все фрагменты воедино, эксперты восстановили полную цепочку кибератаки, описанную в отчёте. Началом послужила классическая социальная инженерия по схеме ClickFix: жертва попадала на сайт с фейковой CAPTCHA, где JavaScript копировал в буфер обмена команду запуска "mshta.exe" для загрузки файла с подозрительного домена. Этот файл, имевший расширение ".mp4", являлся полиглотом - он содержал как легитимный заголовок исполняемого файла PE, так и внедрённый HTA-код. Инструмент "mshta", предназначенный для выполнения HTML-приложений, интерпретировал вредоносный скрипт, который, в свою очередь, запускал сильно обфусцированный PowerShell-код. На этой стадии, известной как Emmenhtal (или PEAKLIGHT), происходило файловое исполнение полезной нагрузки прямо в оперативной памяти с использованием рефлективной загрузки сборок .NET и обходом механизма AMSI для защиты от вредоносных скриптов. Итоговым payload оказался многофункциональный банковский троянец, включавший модули для внедрения кода в банковские страницы, перехвата ввода с клавиатуры, записи экрана, кражи данных из Telegram и даже рефлективной загрузки Mimikatz для извлечения учётных данных из памяти Windows. Для эксфильтрации данных использовались не только Telegram-боты, но и туннели ngrok и прямые HTTP-запросы на подконтрольные злоумышленникам домены.

Атрибуция подобных атак сегодня осложняется моделью Malware-as-a-Service. Emmenhtal, впервые детально описанный в 2024 году, представляет собой сервис по доставке вредоносного ПО, который могут арендовать различные группировки. Техники, использованные в этой атаке, такие как связка ClickFix для первоначального доступа и файловое исполнение через PowerShell, согласно статистике Microsoft, были главным вектором атак в 2025 году. Этот инцидент наглядно демонстрирует несколько важных уроков для специалистов по безопасности.

• Даже после катастрофического для расследования действия - переустановки ОС - данные могут быть восстановлены из свободных секторов и фрагментов системных файлов.
• Критически важно учитывать и фильтровать ложноположительные срабатывания от сигнатурных баз антивирусов при анализе сырых дисков.
• Инфраструктура Telegram, благодаря своей доступности и шифрованию, стала стандартным каналом управления для злоумышленников, что требует соответствующего мониторинга корпоративного трафика.

Для предотвращения подобных атак эксперты рекомендуют жёстко ограничивать использование таких легитимных, но часто злоупотребляемых инструментов, как "mshta.exe" и PowerShell, с помощью политик AppLocker или WDAC, а также обеспечивать строгую сегментацию сети для рабочих станций, имеющих доступ к критическим финансовым системам.

IPv4

• 182.227.90.53
• 185.215.113.43
• 188.114.96.3
• 188.114.97.3
• 88.151.192.165

URLs

• 816e-182-227-90-53.ngrok.io/open.dotm
• klipderiq.shop/kongo.mp4
• klipderiq.shop/sh
• klipjaqemiu.shop/web44.mp4
• savecoupons.store/web44.mp4

MD5

• 40ffda51bd6a87d788cd5cd17275ab87

SHA1

• 8ac10f67e882d79b31df278f95a2a72fc1283b06

SHA256

• 4864e60175ec2fb6f2724c0830c3bf09c043d327c5824e77c8c2a8b2e077fdcf
• 4baabdbe96a16716454a62abd7a7105d8b3a775c2428a0052d9738b0412a32c6
• 4ea8645ab0eba6e65b3d486c5533cb2c04058d0ddab72a43530029470e5cafde
• 82a238bf4f5d618063813b35f65727441d7c6f634a860be51eac3127fac4047a
• c5061e9b8a641f04f3ca2d1f1c69e47b918d16ef064383648b5c19f72e53dd5b