APT-C-56 вернулась к атакам на Индию с двумя разными вредоносными программами

Арсенал группы давно включает целевой фишинг (адресные письма, написанные под конкретного получателя), заражённые документы офисного пакета, копии настоящих сайтов и собственные инструменты удалённого управления. Нынешняя операция продолжает эту линию. Отличие в том, что организаторы подготовили сразу два набора приманок и свели их к общему сетевому узлу.

Первый набор - образ диска, подписанный как резюме соискателя. Открыв его, пользователь видит обычный документ и не замечает, что рядом лежит файл-ярлык с почти таким же названием. Запуск ярлыка передаёт управление скрытому сценарию, а тот копирует программу в служебную папку системы и создаёт ссылку на неё в другой директории. Документ-обманка открывается по-настоящему, поэтому поводов для тревоги у жертвы не возникает.

Второй набор оформлен как архив с материалами по некоему проекту. Ярлык внутри запускает сценарий. Сначала тот стирает соседний ярлык, затем открывает поддельный документ и переименовывает исполняемый файл под текстовый, пряча его в скрытой папке пользователя. Отработав, сценарий удаляет сам себя. По данным 360 Advanced Threat Research Institute, обе цепочки, при всей разнице оформления, ведут к одной и той же инфраструктуре.

Первая программа - CrimsonRAT, вредоносное ПО класса RAT (программа удалённого доступа). Группировка применяет этот инструмент много лет, и он остаётся её основным рабочим средством. Собранный в ходе кампании образец датирован 1 июля 2026 года. После запуска программа связывается с сервером управления и ждёт команд. По команде она собирает сведения о системе и перечень процессов, делает снимки экрана, перечисляет диски. К этому набору добавляются поиск и скачивание файлов, их удаление и запуск произвольных действий. Отдельная функция - закрепление в системе, поэтому перезагрузка не прерывает её работу.

Вторая программа написана на Go, компилируемом языке программирования, и относится к собственным разработкам группировки. Маскировка построена на фитнес-тематике. При запуске она закрепляется двумя независимыми способами. Первый - запись в пользовательский раздел автозагрузки под именем, напоминающим ежедневный трекер активности. Второй - копия самой себя в папке автозапуска, названная монитором тренировок. Механизмы дублируют друг друга, так что удаление одного не мешает программе вернуться после перезагрузки. Затем она перебирает известный ей список серверов управления и проверяет, какой из них отвечает.

Связь с сервером имитирует работу сайта фитнес-клуба. Клиент будто бы запрашивает сведения о зале и абонементах, регистрируется под именем пользователя и передаёт данные о заражённой машине: версию операционной системы, локальный адрес, код страны, имя устройства, имя учётной записи и название установленного защитного решения. Подлинность обращений подтверждает подпись, собранная из постоянной секретной строки и текущего времени. Такой камуфляж снижает вероятность того, что сетевые средства защиты заинтересуются трафиком. Команд немного: запустить файл по указанному пути, скачать программу из сети и выполнить её, а также поместить полученные данные в заданное место и сразу запустить.

Атрибуцию подкрепили четыре наблюдения. CrimsonRAT давно числится в арсенале APT-C-56, и его появление в цепочке само по себе указывает на знакомый инструмент. Сетевая инфраструктура, к которой обращается этот троян, совпадает с серверами, обслуживающими программу на Go. Образцы загружены с индийских адресов, что согласуется с многолетним интересом группировки к этому региону. Идентификатор машины, оставленный в файле-ярлыке, уже встречался в её предыдущих кампаниях. Совпадение инструментов, целей и сетевых узлов даёт основание связать обе цепочки с одной командой и считать их частями одной операции.

Инструментарий группировки за последние годы заметно расширился. К многолетнему трояну добавились собственные разработки на другом языке программирования, а инфраструктура переиспользуется между кампаниями. Приманки тоже меняются: резюме и проектная документация уступают место служебным файлам, которые пользователь открывает не задумываясь. Однако базовые меры остаются прежними. Не стоит открывать вложения из неожиданных писем и запускать ярлыки из архивов, полученных от неизвестных отправителей. Полезно включать двухфакторную аутентификацию (вход с дополнительным подтверждением), следить за списком автозагрузки и вовремя устанавливать обновления. Сотрудникам госструктур, оборонных предприятий и дипломатических ведомств стоит быть особенно внимательными: именно на них рассчитаны такие операции, а их цель - долгое и незаметное присутствие в сети жертвы.