DOUBLECUP: новая платформа для массовых ClickFix-атак доставляет сложные трояны

Сервис реализован по принципу клиент-серверной архитектуры. Злоумышленник покупает лицензию и получает доступ к панели управления, где настраивает кампании: выбирает домен, способ скрытия кода, целевой браузер. Дальнейшая техническая работа, включая хостинг зашифрованных файлов, генерацию ключей и отслеживание сессий, автоматизирована. От оператора требуется лишь встроить небольшой фрагмент кода в свой сайт-приманку.

Как указывают аналитики SOCRadar, платформа рассчитана на широкий круг клиентов. В открытом доступе находятся русскоязычная документация и лицензионный портал, через который распространяются ключи и обновления. Связь с заказчиками ведётся через Telegram-бота, а один из предполагаемых администраторов сервиса ранее создавал вредоносные расширения для Visual Studio Code.

Типичная атака начинается с поддельной страницы входа крупной CRM-системы, например HubSpot, Salesforce или Odoo. Поверх настоящего интерфейса встроен скрытый код, который запускает мошеннический сценарий. Посетитель видит окно "Проверка безопасности" и инструкцию: нажать кнопку, скопировать команду, открыть окно выполнения и вставить её. В этот момент браузер уже успевает незаметно загрузить в кэш картинку со скрытым содержимым, а скопированная команда при запуске извлекает из неё первый этап вредоносного кода.

Механика заражения многоступенчатая. Сначала страница отправляет запрос на сервер, регистрируя сессию и получая настройки, адаптированные под конкретный браузер. Затем браузер скачивает стеганографическое изображение, внутри которого спрятаны исполняемые фрагменты. После запуска скопированной команды изображение расшифровывается, и из него извлекается первый компонент - он связывается с командным сервером и запускает второй этап. На этом этапе выполняется основной вредоносный код, который уже остаётся в памяти устройства.

Важная особенность DOUBLECUP - использование публичного IP-адреса жертвы в качестве ключа шифрования. Второй этап определяет внешний IP-адрес компьютера и на его основе генерирует ключ для расшифровки финальной нагрузки. Если вредоносное ПО анализируется в изолированной среде, ключ не совпадает, и расшифровка не происходит. Такой приём серьёзно затрудняет работу исследователей и антивирусных лабораторий.

Специалистам удалось выявить две основные вредоносные программы, которые доставляет DOUBLECUP. Первая - обновлённый загрузчик CountLoader, существующий в версиях для Windows и macOS. Он получил новые функции: копирует легитимные системные утилиты, такие как командная строка и PowerShell, изменяет их внутренние атрибуты и запускает под видом обычных процессов. Загрузчик также создаёт скрытые задачи в планировщике, которые обеспечивают повторный запуск каждые 25 минут, и собирает данные об установленных криптовалютных кошельках и расширениях браузера. Кроме того, CountLoader способен распространяться на съёмные носители через ярлыки.

Вторая нагрузка - DeviceManager, ранее не задокументированный троян удалённого доступа. Его ключевое отличие состоит в использовании блокчейна для поиска командных серверов. Вместо фиксированного адреса троян обращается к смарт-контракту в сети Ethereum или Polygon и получает оттуда зашифрованную строку с актуальным адресом своего сервера управления. Эта техника получила название EtherHiding и позволяет избегать блокировок, так как адрес постоянно меняется и не хранится в коде статично.

DeviceManager использует DNS-туннелирование для связи с командным сервером. Вредоносные запросы маскируются под обычные DNS-обращения, в том числе с суффиксами, имитирующими обращения к серверам Microsoft. Это делает трафик практически неотличимым от легитимного. Перед началом работы троян проверяет языковые настройки системы: если обнаруживается один из языков СНГ, вредоносная программа самоуничтожается, чтобы не привлекать внимания к атакам на русскоязычных пользователей.

Разработчики DOUBLECUP уделили большое внимание защите собственной инфраструктуры. Лицензии и ключи выдаются через бота в Telegram, а для оперативных уведомлений о новых заражениях используется отдельный канал. По оценке исследователей, это свидетельствует о росте коммерциализации киберпреступных услуг: создатели вредоносного ПО всё чаще продают доступ к сложным инструментам, вместо того чтобы использовать их самостоятельно.

Для противодействия подобным угрозам рекомендуется сочетать технические и организационные меры. Необходимо регулярно обновлять операционные системы и прикладное ПО, ограничивать права пользователей и внедрять многофакторную аутентификацию. Особое внимание стоит уделять обучению сотрудников: настоящие проверки на человекоподобность никогда не требуют копировать и запускать команды в терминале. На уровне сетевой защиты полезно контролировать подозрительные DNS-запросы, аномальные задания планировщика и копии системных файлов в пользовательских каталогах.