DarkMe вернулась без эксплойтов: новая кампания строится на письме и файле устаревшего формата

DarkMe - шпионская программа удалённого доступа, написанная на языке Visual Basic 6. Впервые её заметили в сентябре 2021 года, а публично описали годом позже, связав с операцией DarkCasino. Её приписывают группировке EvilNum, а также APT-группе Water Hydra (APT - организованная группа, которая ведёт длительные целевые атаки). В отличие от большинства таких коллективов, Water Hydra охотится за деньгами, а не за разведданными. Жертвами становились трейдеры валютного рынка, посетители торговых форумов, онлайн-казино и владельцы криптовалюты. Два года назад семейство прославилось иначе. Атакующие использовали сразу две уязвимости нулевого дня: ошибку в WinRAR (CVE-2023-38831) и обход проверок Microsoft Defender SmartScreen (CVE-2024-21412).

Новая цепочка заражения устроена заметно проще. Письмо ведёт на страницу, которая должна показывать картинку, однако сервер отдаёт исполняемый файл с расширением .pif. Этот формат достался в наследство от времён DOS и означает "программный информационный файл". Современная Windows запускает его как обычную программу, независимо от значка. Чтобы файл не вызывал подозрений, ему подделали описание: в свойствах он выдаёт себя за компонент защитного продукта. По данным Huntress, дальше в дело вступает штатный установщик Windows. Он скачивает с чужого сервера пакет, внутри которого лежит сценарий установки. Сценарий распаковывает архив, раскладывает файлы по папкам пользовательского профиля и регистрирует в системе скрытый компонент. Затем срабатывает служебная утилита rundll32. Она запускает зарегистрированную библиотеку по внутреннему идентификатору, а не по имени файла, и это обходит часть стандартных проверок.

Дальше работает необычная проверка. Программа сверяет содержимое компьютера со списком из 329 приложений. В перечне есть криптокошельки, менеджеры паролей и торговые терминалы. Рядом - клиенты онлайн-покера, игровые лаунчеры, мессенджеры, музыкальные плееры и утилиты для настройки игровых мышей и подсветки. Последние не хранят ничего ценного. Зато они доказывают, что за машиной сидит живой человек. Если ни одной программы из списка нет, вредоносный код завершает работу. Обойти такую проверку трудно: чистая песочница (изолированная среда для анализа) не содержит ни игровых клиентов, ни корпоративных мессенджеров.

Закрепление в системе сделано с расчётом на незаметность. Программа регистрирует собственную схему ссылок и прописывает в автозагрузку запуск проводника Windows с обращением к этой схеме. При следующем входе пользователя вредоносный процесс выглядит как дочерний у проводника, а не как запись автозагрузки. Удалять нужно оба элемента сразу. Если убрать только одну запись, второй путь запуска останется рабочим.

Внутри запущенного процесса работает полноценная программа удалённого доступа. Она ворует данные криптокошельков, делает снимки экрана, перечисляет установленные антивирусы, управляет файлами и выполняет команды оператора. Команды обозначены испанскими и итальянскими словами - по этим мнемоникам семейство и опознают. Управляющий сервер, который называют командно-контрольным, зашит в код в зашифрованном виде. Ключ отличается от того, что встречался в образцах 2024 года. Значит, перед нами свежая сборка, а не переделанный старый файл. Один из слоёв шифрования полезной нагрузки содержит ошибку: вместо полноценного поточного шифра работает примитивное преобразование. Ключ защищает лишь первые байты файла, остальное аналитики снимают за минуты. Связь с сервером шла через нетипичный сетевой порт, который почти не встречается у легальных приложений.

Инфраструктура кампании держится на дешёвом хостинге. Несколько доменов зарегистрировали весной 2026 года, часть - на готовых шаблонах WordPress (система управления сайтами). На одном из серверов остался открытым список файлов, и это позволило увидеть рабочие материалы оператора. Службы репутации при этом считают узел чистым: проверка по десяткам антивирусных движков не дала ни одного срабатывания. Другой сервер вместо вредоносной программы отдавал страницу с предложением скачать взломанное ПО и вставить готовую команду в PowerShell (командная оболочка Windows). Такой приём уводит жертву от стандартных предупреждений браузера.

Разбор инцидента даёт несколько практических выводов. Неожиданный запуск установщика, который тянет пакет из интернета, стоит проверять в первую очередь. То же касается утилиты rundll32 с идентификатором вместо имени файла и исполняемых файлов формата .pif. При заражении нужно изолировать машину, удалить лишние файлы из профиля пользователя, очистить обе записи закрепления и перезагрузиться. Пароли пострадавшего сотрудника следует сменить, а криптокошельки, которые открывались на этом компьютере, считать скомпрометированными. Общие меры тоже не помешают: своевременные обновления, двухфакторная аутентификация и осторожность с вложениями из неожиданных писем.

Отказ от уязвимостей нулевого дня кампанию не ослабил. Он сделал её дешевле, проще и пригодной для массовых рассылок. Дорогие приёмы - ошибка в WinRAR, обход SmartScreen, подготовка специальных серверов - исчезли, и ничего не потерялось. Всё, что требуется от атакующего, это убедительное письмо и файл, который Windows запустит по двойному клику. Аудитория сместилась с узкой группы трейдеров на обычных корпоративных пользователей. Пока люди открывают ссылки в неожиданных письмах, тратить силы на сложные эксплойты злоумышленникам незачем.