Amaranth-Dragon: APT-группа атакует правительства Юго-Восточной Азии с помощью уязвимости в WinRAR

Кампании отличались высокой степенью целевого подбора жертв. Атаки были направлены на организации в Камбодже, Таиланде, Лаосе, Индонезии, Сингапуре и на Филиппинах. Социальная инженерия строилась вокруг актуальных местных политических событий, а названия вредоносных файлов-приманок часто имитировали официальные документы, повышая вероятность успешного компрометирования.

Одной из ключевых особенностей стала исключительная скорость адаптации злоумышленников. Менее чем через десять дней после публикации информации об уязвимости в архиваторе WinRAR (CVE-2025-8088) группа Amaranth-Dragon начала активно использовать её в своих атаках. Данная уязвимость класса path traversal позволяла злоумышленникам, создав специальный RAR-архив, добиться исполнения произвольного кода на системе жертвы, обеспечивая себе устойчивое присутствие (persistence).

Вредоносная цепочка обычно начиналась с фишингового письма, содержащего архив. Внутри архива находился легитимный исполняемый файл, который осуществлял боковую загрузку (DLL sideloading) вредоносной библиотеки, известной исследователям как Amaranth Loader. Этот загрузчик, в свою очередь, связывался с управляемой злоумышленниками инфраструктурой для получения зашифрованного полезного груза (payload).

Инфраструктура группы демонстрирует высокий уровень операционной безопасности. Командные серверы (Command and Control, C&C) были защищены с помощью Cloudflare и сконфигурированы таким образом, чтобы отвечать только на запросы с IP-адресов целевых стран. Этот механизм геоограничения минимизировал случайные заражения и значительно повышал скрытность операций. Для доставки финального груза часто использовались легальные файлообменные сервисы, например Dropbox, а также собственный сервер группы.

Основным финальным инструментом в большинстве кампаний выступал открытый фреймворк для управления доступом Havoc C2 Framework. Однако в сентябре 2025 года арсенал пополнился новым инструментом - удалённым троянцем (RAT), который исследователи назвали TGAmaranth RAT. Этот троянец использует Telegram-бота в качестве командного сервера и обладает функциями противодействия системам защиты конечных точек (EDR) и антивирусам (AV). Он способен выполнять команды, загружать и выгружать файлы, а также делать скриншоты с заражённой системы.

Анализ временных меток компиляции вредоносных файлов и времени проведения кампаний позволяет предположить, что группа работает в часовом поясе UTC+8, что соответствует стандартному пекинскому времени. Кроме того, исследователи обнаружили в коде загрузчика отладочные артефакты, включающие пути к файлам библиотеки Crypto++ с рабочих станций разработчиков, что также является косвенным техническим признаком.

Специалисты Check Point Research отмечают, что наблюдаемые совпадения в методах работы, целях и инструментарии между Amaranth-Dragon и APT-41 являются весьма значительными. Обе группы демонстрируют устойчивый интерес к государственным структурам Юго-Восточной Азии и используют схожие техники, такие как боковая загрузка DLL и специфические методы обфускации кода. Эти данные указывают на тесную связь между группировками или их принадлежность к одному экосистеме угроз.

Атаки Amaranth-Dragon служат наглядным примером того, как современные APT-группы оперативно интегрируют свежие уязвимости в свои кампании. Эксплуатация CVE-2025-8088 всего через несколько дней после публикации эксплойта подчёркивает критическую важность своевременного обновления ПО. Организациям, особенно в государственном секторе, необходимо применять комплексный подход к безопасности, включающий регулярное обновление программного обеспечения, повышение осведомлённости пользователей о фишинге и внедрение многоуровневой защиты для противодействия сложным угрозам.