APT-C-60 использует Proton Drive и легитимные сервисы для атак на японские организации

Специалисты JPCERT/CC (Японский центр компьютерной готовности к чрезвычайным ситуациям) продолжают фиксировать активность группировки APT-C-60, нацеленную на организации в Японии. В новых инцидентах, зафиксированных в 2026 году, злоумышленники изменили методы первоначального доступа и состав используемой инфраструктуры. Если в атаках 2024-2025 годов применялись преимущественно GitHub и Bitbucket, то теперь в арсенале появились GitLab, jsDelivr и Codeberg. Такая эволюция усложняет обнаружение вредоносной активности, поскольку трафик к легитимным сервисам часто разрешен в корпоративных сетях.

Описание

Вектор атаки начинается с целевого фишингового письма. В одном из исследованных случаев жертве направлялась ссылка на Proton Drive, откуда предлагалось скачать RAR-архив. При распаковке архив содержал LNK-файл - ярлык Windows. После открытия ярлыка запускался процесс заражения. JPCERT/CC также заметил вариант, при котором вредоносный файл прикреплялся непосредственно к письму, без использования облачного хранилища. В любом случае конечной целью является выполнение кода на устройстве получателя.

Анализ поведения LNK-файла показал, что после запуска он копирует себя и с помощью легитимной утилиты mshta.exe (предназначенной для выполнения HTML-приложений) запускает встроенный JavaScript-код. Этот код обфусцирован, но выполняет три основные задачи: скачивает файл "contributing[1].txt" из CDN jsDelivr, извлекает из него данные и запускает скрипт через легитимный исполняемый файл git.exe. Последний находится в папке, которая создается в процессе распаковки архива. Использование git.exe для выполнения скриптов - техника, уже наблюдавшаяся в атаках APT-C-60 в предыдущие годы, что указывает на преемственность тактик.

Скрипт, выполняемый через git.exe, создает загрузчик (downloader) - программу, собирающуюся из нескольких файлов с расширением .db, находящихся в той же извлеченной папке. Затем этот загрузчик обращается к легитимным сайтам, таким как GitHub, и загружает дополнительные компоненты: следующий загрузчик и loader (программа, запускающая полезную нагрузку). Как отмечается в отчёте JPCERT/CC, техники закрепления в системе (persistence) также остались неизменными по сравнению с 2024-2025 годами.

Ключевое новшество 2026 года - расширение списка легитимных сервисов, используемых злоумышленниками в качестве инфраструктуры для хранения и распространения вредоносных файлов. Ранее применялись GitHub и Bitbucket, теперь добавились GitLab (платформа для совместной разработки), jsDelivr (сеть доставки контента с открытым исходным кодом) и Codeberg (некоммерческий хостинг кода, ориентированный на приватность). Такой подход позволяет маскировать вредоносный трафик под обычные обращения к доверенным ресурсам. Для корпоративных сред характерно разрешение доступа к CDN и репозиториям кода, что делает блокировку по домену неэффективной.

Конечной полезной нагрузкой данной кампании выступает вредоносное ПО SpyGlace, которое действует как шпионский инструмент. В ходе исследования обнаружены версии v3.1.15, v3.1.17 и v3.1.18. Существенных отличий в функциональности по сравнению с ранними версиями не выявлено. SpyGlace способен осуществлять сбор данных, кражу учетных данных и удаленное управление зараженной системой.

Последствия таких атак для организаций включают утечку конфиденциальной информации, нарушение бизнес-процессов и возможный шантаж. Поскольку атаки используют легитимные функции Windows (mshta.exe, LNK-файлы) и доверенные облачные сервисы, классические средства защиты (сетевые экраны, фильтрация URL) могут не сработать. JPCERT/CC рекомендует проявлять бдительность при получении писем с ссылками на облачные хранилища, а также не открывать файлы с расширением .lnk из вложений архивов (RAR, ZIP) без предварительной проверки.

Группировка APT-C-60, вероятно связанная с Китаем, известна целенаправленными атаками на правительственные и технологические структуры Японии. Смена инфраструктуры указывает на стремление адаптироваться к существующим методам обнаружения. Организациям, работающим с японскими контрагентами или имеющим офисы в регионе, стоит усилить мониторинг на стороне рабочих станций: обращать внимание на запуск mshta.exe с необычными аргументами и появление процессов git.exe в нестандартных сценариях.

Индикаторы компрометации

IPv4

154.18.239.209
173.234.11.141
185.18.222.241
213.111.158.200
213.111.158.201
213.111.158.216
31.58.136.207

URL

https://c.statcounter.com/13178005/0/7f3c2735/1/
https://cdn.jsdelivr.net/gh/mei1990789/class125/
https://codeberg.org/Hamilton385673/eff88e889w33456
https://codeberg.org/meca922199/ertlokefgpokjper2359
https://codeberg.org/ochi_ma992/3tv9239irfn83
https://github.com/bohihef411/tuikfwoveb
https://github.com/cafes39636/ngwtaepesf
https://github.com/cefobe3574/kojyyvtkqo
https://github.com/fehijow850/uywcrcvlnb
https://github.com/gixop88415/glfhvhtzih
https://github.com/hexif45133/yedkatinrc
https://github.com/jewexo9791/archibkyof
https://github.com/kapap40675/fpqtzyofdl
https://github.com/lowege1212/izrtysherg
https://github.com/mei1990789/class125
https://github.com/rapefo2905/rncprjmauw
https://github.com/sapphire679/tblsesarol/
https://github.com/sapphire689/dnaluakxit
https://github.com/vogenoc114/qlofnsayvl
https://github.com/wanib11399/zjeqopmfit
https://github.com/waxiyes819/dymcdbqqen
https://github.com/williams250666/bluenote554
https://github.com/yefixi3890/krbgqbmlho
https://gitlab.com/cafes39636/ngwtaepesf
https://gitlab.com/kapap40675/fpqtzyofdl
https://gitlab.com/lowege1212/eboralfotj
https://gitlab.com/rapefo2905/yedkatinrc
https://gitlab.com/sapphire689/dnaluakxit
https://gitlab.com/vogenoc114/qlofnsayvl
https://gitlab.com/waxiyes819/dymcdbqqen
https://gitlab.com/yefixi3890/krbgqbmlho

Email

asako.t1011@protonmail.com
ayuko0328@protonmail.com
jewexo9791@outlook.com
legDevMachine@protonmail.com
meimei91@protonmail.com
rapefo2905@outlook.com
sapphire679@proton.me
sapphire689@proton.me

SHA256
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