В мае и июне 2026 года кластер Clubfoot Wolf провел масштабную фишинговую кампанию, нацеленную на организации из восьми отраслей российской экономики. Основной удар пришелся на компании, занимающиеся оптовой продажей химической продукции, а также несколько предприятий из Республики Беларусь. Злоумышленники использовали легитимное программное обеспечение для удаленного администрирования NetSupport Manager, доставляя его через многоступенчатую цепочку заражения.
Описание
Среди пострадавших секторов - обрабатывающая промышленность, розничная торговля, электронная коммерция, сельское хозяйство, IT, логистика, медицина и наука. Атаки носили целевой характер: фишинговые письма маскировались под запросы коммерческих предложений или выставление счетов от имени компаний, якобы заинтересованных в закупке продукции. Для рассылки злоумышленники использовали почтовый сервис "Яндекс Почта".
В письмах содержались ZIP-архивы, названные по шаблону "Заявка [название компании] [номер].zcodep". Внутри архива находился вредоносный LNK-файл с названием "Заявка на закупку от компании [название компании] на [год]г.lnk", а также от двух до трех отвлекающих файлов - поддельных документов, карточек предприятий, свидетельств ИНН и ОГРН. Эти файлы имитировали реальную деловую переписку, чтобы убедить жертву запустить LNK-файл.
При запуске LNK-файла исполнялась закодированная в Base64 команда PowerShell. Декодированная команда сначала устанавливала протокол безопасности TLS 1.2, затем выполняла HTTPS GET-запрос к укороченной ссылке через сервис urlcrop.com (исходный адрес - hxxps://sunlightfriends[.]tech/weather/news). Полученный ответ передавался на исполнение через Invoke-Expression, что обеспечивало бесфайловую загрузку следующей стадии прямо в память процесса PowerShell. Такой подход затрудняет обнаружение антивирусными решениями.
Загруженный в память PowerShell-скрипт представлял собой загрузчик, защищенный шифрованием AES-128-CBC с PKCS7 Padding. После расшифровки скрипт выполнял несколько ключевых действий. Сначала он создавал отвлекающий файл в папке Documents пользователя - текстовый документ с якобы поврежденным содержимым, либо открывал в браузере ссылку на документ на "Яндекс Диске". Затем скрипт загружал ZIP-архив с NetSupport Manager по другой укороченной ссылке (hxxps://crop[.]sh/OSRXf5B, исходный адрес - hxxps://sunlightfriends[.]tech/weekly/forecast). Архив сохранялся во временную папку под случайным именем, после чего его содержимое копировалось в каталог %LOCALAPPDATA%\VoiceAssistant.
Далее скрипт расшифровывал и исполнял код, запускающий процесс voiceassist.exe - клиент NetSupport Manager версии 14.2.0.966. Дополнительно происходило закрепление в системе: в ветке реестра HKCU\Software\Microsoft\Windows\CurrentVersion\Run создавался параметр VoiceAssistant, указывающий на этот исполняемый файл. В одном из изученных вариантов атакующие допустили ошибку, записав voiceassist.exe.exe с двойным расширением, что потенциально делало закрепление неработоспособным. В других экземплярах ошибка отсутствовала.
Предоставленный анализ содержимого ZIP-архива с NetSupport Manager показал, что помимо основных компонентов ПО в архиве находились файлы, заполненные автоматически сгенерированным бессмысленным текстом. Такие файлы, вероятно, добавлялись для изменения хеш-суммы архива, чтобы обойти сигнатурные детекторы, и для имитации легитимного дистрибутива.
Использование NetSupport Manager в качестве полезной нагрузки не случайно. Это коммерческое решение для удаленного администрирования, которое легально применяется системными администраторами. Однако злоумышленники настраивают его таким образом, чтобы получить полный контроль над зараженной машиной: удаленное выполнение команд, сбор данных, установка дополнительного вредоносного ПО. Фишинговая кампания Clubfoot Wolf показывает, что кластер продолжает активно модифицировать цепочки заражения, экспериментировать с методами маскировки и применять сервисы сокращения ссылок для сокрытия инфраструктуры.
Риски для атакованных организаций включают утечку конфиденциальных коммерческих данных, остановку производственных процессов и последующее вымогательство. Поскольку NetSupport Manager обеспечивает полноценный удаленный доступ, атакующие могут изучать внутренние сети, перемещаться между системами и закрепляться на критически важных узлах. В случае успешного закрепления злоумышленники получают возможность запускать дополнительную нагрузку, включая программы-вымогатели, шпионское ПО или инструменты для кражи учетных данных.
Предприятиям из отраслей, указанных в кампании, следует усилить меры защиты от фишинга. Рекомендуется внедрить многофакторную аутентификацию для почтовых систем, обучить сотрудников распознавать подозрительные вложения и применять политики блокировки исполняемых файлов, загружаемых из ZIP-архивов. Особое внимание стоит уделить контролю запуска легитимного ПО удаленного администрирования - использование таких инструментов должно быть строго регламентировано и отслеживаться системами класса SIEM (программные комплексы для сбора и корреляции событий информационной безопасности). Развертывание правил для обнаружения запуска PowerShell с параметрами из командной строки также способно снизить риски бесфайловых атак.
Clubfoot Wolf не впервые применяет NetSupport Manager в своих кампаниях, однако текущая волна выделяется масштабом и целевой направленностью на российские компании. Наблюдаемый переход от простых LNK-файлов к многоэтапным цепочкам с шифрованием и укороченными ссылками указывает на рост технической оснащенности кластера.
Индикаторы компрометации
