ChainScript: программа удалённого доступа меняет серверы управления через блокчейн

Схема заражения опирается на технику ClickFix. Человеку показывают страницу, которая предлагает вставить заранее скопированную команду в системный диалог запуска Windows. Выполнив подсказку, он сам запускает установку вредоносного пакета, поэтому защитные средства не видят явного взлома. Дальше всё идёт без его участия. Установщик оформлен как продукт Spotify AB и не требует прав администратора. Он спокойно работает в обычной пользовательской сессии и не вызывает подозрений у системы контроля учётных записей.

Образцы ChainScript фиксировались под разными именами сборок: ComponentTask33, UpdateDigital, HostShared и OrchidViolet66. За каждым именем стоял установочный пакет под легитимным брендом - от музыкального сервиса до средства для видеосвязи. Blackpoint отследила эти варианты в ходе разбора активности ClickFix и объединила их в одно семейство. Внешние имена, оформление и способ раскладки файлов менялись, а начинка оставалась почти одинаковой. Совпадали и служебные элементы агента, и задержка перед первым подключением к серверу. Смена имени сборки не требовала переписывать код - менялась только оболочка вокруг готового агента.

Основу составляет агент на платформе Node.js - среде, которую обычно используют для серверных и веб-приложений. Он стартует скрыто, без окна консоли, и сразу закрепляется в профиле пользователя. Сначала вредоносная программа пытается создать задачу в планировщике Windows, которая запускала бы её при входе в систему. Если это не удаётся, она прописывает себя в разделе автозапуска текущего пользователя. Права администратора не нужны ни на одном из этапов, поэтому заражение проходит незаметно для службы безопасности.

Самое необычное в ChainScript - способ поиска управляющего сервера. Его адрес не зашит внутрь программы. Агент обращается к смарт-контракту в блокчейне Polygon и получает оттуда адрес активной панели управления. Смарт-контракт - это программа, которая работает в сети блокчейна и хранит данные открыто. Приём называют сокрытием в блокчейне. Для злоумышленников он удобен тем, что позволяет переносить инфраструктуру без обновления уже заражённых устройств. Полученный адрес на время сохраняется локально, чтобы не обращаться к блокчейну постоянно.

Наблюдение за работающей инфраструктурой подтвердило эту логику на практике. Сначала контракт указывал на один сервер. Связь держалась около восемнадцати минут, после чего оператор выдал задачу перечислить диски на заражённой машине. Ещё минут через двенадцать сеанс оборвался. При повторном обращении к контракту агент получил уже другой адрес и подключился к нему по той же схеме. Оператор не потерял связь с машиной - устройство само нашло новый сервер. Замена прошла без единой правки в самом вредоносном коде.

Набор доступных оператору действий широк. Ему открыты интерактивные сессии командной строки и PowerShell, работа с файлами, снимки экрана. К этому добавляются доставка дополнительных полезных нагрузок, удалённое исполнение чужого кода, обновление агента и удаление следов. Дополнительные задачи можно подгружать с управляющего сервера уже после заражения, поэтому список возможностей не ограничен сборкой. Отдельная функция инвентаризирует установленные криптокошельки и расширения браузеров. Встроенных механизмов кражи паролей и ключей в изученной сборке не нашлось, хотя ручной доступ к файлам позволяет собрать такие данные.

Любопытная деталь выяснилась при сопоставлении времени создания файлов. Контракт для одной из сборок появился в блокчейне. До сборки самого установщика прошло двадцать три секунды. Такой разрыв слишком мал для ручной работы. Значит, развёртывание контрактов встроено в конвейер сборки вредоносного ПО и идёт автоматически вместе с очередной версией. На практике это позволяет готовить новую инфраструктуру под каждый выпуск.

Похожие приёмы уже встречались в семействах Tsundere и EtherRAT. Все три образца объединяют платформа Node.js, вредоносные установщики и поиск управляющих серверов через блокчейн. Общего разработчика это не доказывает, но говорит о том, что подход распространяется. Создатели вредоносного ПО всё чаще отделяют функциональность программы от её инфраструктуры. Для защитных систем привычные списки доменов и адресов быстро устаревают. На первый план выходит анализ поведения.

Защита от подобных атак требует внимания к поведению, а не к отдельным приметам. Адреса серверов и порты живут недолго, поэтому строить на них долгосрочную защиту не стоит. Пользователям поможет простое правило. Любой сайт, который просит вставить команду в системный диалог запуска, заслуживает недоверия и обращения в службу поддержки. Организациям разумно ограничить запуск установочных пакетов из пользовательских папок. Если заражение всё же произошло, систему стоит считать полностью скомпрометированной. Её изолируют, проверяют на вторичные нагрузки, меняют пароли и переустанавливают.