29 августа 2026 года с территории Афганистана на публичный сервис проверки подозрительных файлов загрузили архив. Внутри лежали два файла. Программа с длинным названием обещала особые возможности трудоустройства и кадровые списки в министерствах Афганистана. Рядом с ней находилась библиотека с коротким техническим именем. Такое сочетание и место загрузки указывают на адресную атаку на афганское государственное ведомство. Подобные образцы попадают в публичные сервисы двумя путями: их присылают внимательные сотрудники или автоматические системы защиты.
Описание
Схема обмана проста. Злоумышленники взяли обычную системную программу Windows и переименовали её в кадровый документ. Рядом положили вредоносную библиотеку. Доверенное приложение автоматически подхватывает файл из своей папки и выполняет чужой код. Приём называют боковой загрузкой. Жертве достаточно распаковать архив и запустить "документ". Насторожить должен уже сам источник письма или ссылки - ведомственные кадровые списки не рассылают вложением незнакомцы.
Тот, кто открыл файл, видит безобидный PDF на языке пушту. Это список сотрудников аппарата премьер-министра: имена, должности, оклады, подразделения и телефоны. Документ выглядит подлинным, и его, вероятно, собрали из реальных кадровых данных. Пока человек листает страницы, вредоносная библиотека уже связывается с сервером управления. По данным анализа образца, речь идёт о полноценном бэкдоре - программе скрытого удалённого доступа, которая принимает команды оператора. Если список сотрудников настоящий, утечка произошла ещё до рассылки письма: злоумышленники распоряжались внутренним документом ведомства. Кадровые сведения сами по себе создают угрозу: по именам, должностям и телефонам удобно готовить целевой фишинг (адресные письма под конкретного человека) против чиновников.
Закрепление в системе продумано. Копия программы и библиотеки уходит в служебный каталог внутри профиля пользователя, маскируясь под компонент Microsoft. Там она прописывается в автозагрузку через стандартный раздел реестра Windows. После перезагрузки машина снова выходит на связь с оператором. Заметить подмену невооружённым глазом трудно: имена папок и файлов похожи на системные, а сама программа работает без окна.
Перед основной работой бэкдор проверяет, не следят ли за ним. Он ищет отладчики - инструменты для пошагового разбора кода - и популярные средства анализа. Замеряет время выполнения отдельных операций, сверяет целостность окружения. Признаки наблюдения останавливают программу. Отдельная деталь указывает на привычки разработчика: маскировочный PDF появляется только при запуске без специального параметра. Так автор избавил себя от лишних шагов при собственных проверках.
Сервер управления принадлежит коммерческой хостинговой компании, а его параметры зашиты в тело библиотеки в зашифрованном виде. После расшифровки программа выстраивает постоянный канал связи. Первое сообщение содержит базовые сведения о заражённой машине: её идентификатор, имя и версию операционной системы. Сам бэкдор сообщает о себе версию 1.0.0, что указывает на раннюю сборку. Канал работает, пока сервер отвечает: программа ждёт команды и повторяет попытки соединения.
Возможностей у инструмента тринадцать. Часть команд собирает профиль системы: сведения о процессоре, памяти, дисках, сетевых подключениях и времени работы. Другие показывают содержимое каталогов и список дисков, скачивают и загружают файлы, запускают процессы, удаляют данные, завершают чужие задачи. Отдельная команда открывает удалённую командную оболочку: оператор получает скрытое окно командной строки и вводит туда любые распоряжения. Ещё одна закрывает эту оболочку.
Каждый пакет несёт служебную метку, версию протокола и длину полезной нагрузки. Часть сообщений передаётся текстом, часть - в смешанном виде, где за текстовым заголовком следует поток данных. Аккуратная архитектура обмена говорит о зрелой разработке. Ранний номер версии говорит о другом: инструмент пока только начинает использоваться. От массовых вредоносных программ эту отличает адресность. Создатели собрали инструмент под конкретную задачу и конкретный регион, без лишних функций вроде кражи паролей из браузера или шифрования файлов. Такие образцы живут дольше и заметны меньше.
Цель атаки - не деньги. Список должностных лиц с окладами и телефонами вместе с доступом к рабочей станции в госструктуре открывает путь к сбору разведданных. Через командную оболочку злоумышленник способен к боковому перемещению по внутренней сети, к поиску документов, переписки и учётных данных. Для ведомства это обернётся утечкой служебной информации и риском для сотрудников, чьи персональные данные попали в поддельный документ.
Снизить угрозу помогают простые меры. Сотрудникам стоит насторожиться при получении архивов с вакансиями и кадровыми списками от незнакомых отправителей. Администраторам пригодятся ограничения на запуск программ из пользовательских папок и контроль записей автозагрузки. Помогут и системы обнаружения на конечных точках - решения, которые следят за поведением программ на рабочих станциях. Полезны регулярные проверки машин на предмет посторонних файлов рядом с системными приложениями.
Схема с кадровым документом опирается на служебное любопытство и необходимость быстро проверить списки. Пока такие письма доходят до адресатов, ранние версии бэкдоров будут появляться в публичных сервисах проверки файлов. Первая сборка рано или поздно сменится второй, и заметить атаку станет сложнее.
Индикаторы компрометации
