Исследователи Unit 42 из Palo Alto Networks зафиксировали использование открытого фреймворка AdaptixC2 в реальных атаках, начиная с мая 2025 года. Изначально созданный для легитимных целей тестирования на проникновение, этот инструмент был адаптирован злоумышленниками для скрытного контроля над системами, выполнения команд, кражи данных и перемещения по сетям.
Описание
AdaptixC2 представляет собой модульную платформу с поддержкой расширяемости через «экстендеры», что позволяет настраивать полезную нагрузку и методы уклонения от обнаружения под конкретную цель. Фреймворк поддерживает несколько типов коммуникации: HTTP, SMB и TCP, использует шифрование RC4 для конфигурации и предлагает такие функции операционной безопасности, как настраиваемое время активности и дата самоуничтожения.
В одном из исследованных сценариев злоумышленники применяли социальную инженерию, имитируя сотрудников службы поддержки через Microsoft Teams. Жертвы были убеждены запустить сеанс удалённого доступа через Quick Assist, после чего выполнялся многоэтапный PowerShell-загрузчик. Он декодировал и исполнял шелл-код прямо в памяти, минуя запись на диск, а для обеспечения устойчивости создавалась ссылка в папке автозагрузки.
В другом случае использовался сценарий на PowerShell, который, с высокой степенью уверенности, был создан с помощью ИИ-инструментов. Это подтверждается стилистикой кода, наличием нумерованных комментариев и символов в выводе. Скрипт также реализовывал техники persistence через подмену DLL и добавление в автозагрузку реестра.
Оба инцидента демонстрируют общие черты: использование PowerShell, выполнение кода в памяти, применение .NET-методов для динамического вызова и схожие названия элементов persistence, такие как «update.ps1» или «Updater». Это позволяет вредоносным компонентам маскироваться под легитимные процессы.
По данным телеметрии, популярность AdaptixC2 среди злоумышленников растёт. Фреймворк уже применялся в комбинации с ransomware (программами-вымогателями) Fog при атаке на финансовый институт в Азии, что подчёркивает его универсальность и опасность.
Для противодействия угрозам, связанным с AdaptixC2, специалистам рекомендуется использовать продукты Palo Alto Networks, включая Advanced Threat Prevention, Cortex XDR и Advanced WildFire. Также доступен инструмент для автоматического извлечения конфигурации из вредоносных образцов, что упрощает анализ и выявление атак.
Таким образом, AdaptixC2 illustrates растущую тенденцию: киберпреступники активно используют гибкие, открытые и малоизвестные фреймворки, дополняя их искусственным интеллектом для создания более изощрённых и незаметных атак.
Индикаторы компрометации
YARA
