С марта 2025 года в англоязычных странах действует вредоносная кампания, нацеленная на компьютеры под управлением Windows. Атакующие заражают обычные сайты на WordPress и обманом заставляют посетителей запустить чужой код на своей машине. Итог - установка NightshadeC2, она же CastleRAT: программы удалённого доступа, дающей преступнику почти полный контроль над системой. Следы активности зафиксированы в США, Канаде, Великобритании, Ирландии, Австралии и Новой Зеландии. За разработкой стоит группировка TAG-150, работающая по модели "вредоносное ПО как услуга": она продаёт доступ к своей программе другим преступным командам. Отдельных отраслевых предпочтений у атакующих нет - под удар попадает любой посетитель взломанного ресурса. Кампания продолжается и меняется на ходу, её авторы уже выпустили несколько вариантов доставки.
Описание
Всё начинается с безобидного на вид сайта. Получив доступ к ресурсу на WordPress, злоумышленники встраивают в его страницы посторонний скрипт. Посетителю показывают окно проверки - предложение подтвердить, что он не робот, или обновить браузер. Выглядит это как типовое уведомление, поэтому мало кто настораживается. Вместо обещанного действия на экран выводится инструкция, а нужная команда тем временем попадает в буфер обмена. Человеку остаётся вставить её в системное окно запуска программ и подтвердить. ClickFix - приём, при котором жертва сама выполняет вредоносное действие. Поэтому защиты обходятся без взлома.
Дальнейшая доставка устроена так, чтобы её было сложно отследить и заблокировать. Промежуточный код забирает следующую часть из смарт-контракта в тестовой сети Ethereum Sepolia. Приём получил название EtherHiding: полезная нагрузка хранится в блокчейне, откуда её нельзя удалить или отключить административно. По данным WatchGuard Threat Lab, в цепочке задействованы случайные поддомены, публичное хранилище Cloudflare R2 и несколько зашифрованных загрузчиков. Каждый новый вариант обращения к управляющему серверу отличается приёмами обхода. Содержимое подгружается только тем посетителям, чьи сетевые адреса принадлежат нужным странам. Аналитик лаборатории Euler Neto описал эту механику в отчёте об инциденте.
На заражённой машине программа разворачивается под видом обновления Intel и первым делом закрепляется в системе: создаёт задачу в планировщике. Параллельно она собирает сведения о компьютере - версию и сборку операционной системы, архитектуру процессора, имя устройства и учётной записи, установленные антивирусы. Такой сбор соответствует технике T1082 из каталога MITRE ATT&CK (перечень известных приёмов атакующих) - сбору сведений о системе. По этим данным программа формирует уникальный отпечаток устройства и регистрирует его на сервере злоумышленников. Часть трафика уходит на командно-контрольный сервер через запросы системы доменных имён - стороннему наблюдателю их труднее отличить от обычного сетевого шума. Адрес основного управляющего узла программа извлекает из профиля в Steam Community.
Возможности NightshadeC2 выходят далеко за рамки удалённого доступа. Она снимает скриншоты, перехватывает нажатия клавиш и содержимое буфера обмена, подключается к сессиям браузера и добирается до сохранённых паролей. Для наблюдения за экраном применяется виртуальный монитор - сторонний драйвер, создающий дополнительный программный экран. Под прицелом - данные банковских карт, криптовалютные кошельки, менеджеры паролей, расширения для двухфакторной аутентификации, переписка в Telegram и Discord. Для передачи файлов и инструментов применяется техника T1105 - загрузка дополнительных файлов из внешней системы. Отдельные модули повышают права в системе и маскируют своё присутствие под легитимные компоненты Python и Java.
Связь кода с TAG-150 выдаёт проверка языка системы. Если он относится к странам СНГ - Россия, Украина, Беларусь, Казахстан, Кыргызстан, Узбекистан, Армения, Азербайджан, Грузия, Таджикистан, - программа прекращает работу. Такой фильтр встречается у группировок, которые ориентируются на западную аудиторию и не хотят лишнего внимания на своей территории. Именно этот признак вместе с набором инструментов позволил связать кампанию с конкретным оператором.
Пострадать может любая организация, чей сайт работает на WordPress, и любой её посетитель. Регулярные обновления самой системы управления сайтом и её расширений закрывают большинство известных уязвимостей, через которые злоумышленники получают доступ. Администраторам стоит периодически проверять файлы сайта на посторонние вставки и включить двухфакторную аутентификацию для входа в панель управления. Резервные копии и журналы изменений помогают быстрее заметить чужое вмешательство. Сотрудников полезно предупредить о простом правиле. Настоящая проверка "я не робот" никогда не требует вставлять команды в системные окна и запускать что-либо от имени администратора.
Схема опирается на доверие к привычным сервисам. WordPress, Ethereum, Cloudflare, Steam, Python - по отдельности каждый из них выглядит безобидно. Вместе они образуют цепочку, где вредоносный запуск остаётся действием самого пользователя. Оценивать риск приходится не по репутации инфраструктуры, а по поведению. Речь идёт обо всём пути - от первого клика в браузере до закрепления в системе и обмена данными с управляющим сервером. Пока защиты анализируют каждый участок по отдельности, схема продолжает работать.
Индикаторы компрометации
