Две кампании с поддельными вакансиями: PureRAT крадёт данные криптокошельков, вторая осталась без атрибуции

Первая цепочка начиналась с архива, в котором пользователь видел лишь один файл. Он выглядел как документ с описанием вакансии, поскольку нёс соответствующий значок. На деле это была переименованная служебная программа текстового редактора Microsoft Word. Остальные компоненты архива получили скрытые атрибуты и оставались невидимыми. Пока человек читал поддельный документ, загрузчик продолжал работу в фоне.

Вторая цепочка устроена по-другому. Внутри архива с приглашением на собеседование лежал ярлык, замаскированный под документ. Ярлык запускал штатную утилиту Windows для обработки веб-содержимого и подгружал данные с внешнего сервера. Благодаря этому организаторы могли менять начинку заражения, не переделывая саму приманку. Внешнее размещение следующего этапа даёт и ещё одно преимущество: инфраструктуру можно быстро заменить.

По данным Howler Cell, обе цепочки устроены по одной логике. Основные усилия вложены не в приманку, а в загрузчик, который включается уже после клика. Поэтому обе схемы выглядят безобидно и для пользователя, и для базовых средств проверки.

Перед запуском полезной нагрузки обе цепочки отключают или обходят штатные средства контроля. Перестают работать проверка скриптов и журналирование событий среды исполнения. В результате защитные продукты не получают сигналов о том, что в системе появился чужой код.

Закрепление в системе выполнено через интерфейс планировщика заданий. Отдельная служебная программа при этом не запускается, поэтому средства защиты, отслеживающие появление новых процессов, ничего не замечают. Дополнительно первая цепочка создаёт подписку на системные события и подменяет регистрацию одного из системных компонентов в пользовательской ветви реестра. Права администратора для этого не нужны.

Полезная нагрузка почти не касается диска. Первая цепочка загружает PureRAT - вредоносную программу удалённого доступа, которую продают на подпольном рынке. Вторая использует собственный имплант на машинном коде. Файловый антивирус в этот момент не находит ничего, что можно было бы проверить.

Вторая цепочка выделяется ещё одной деталью. Её имплант общается с сервером управления через собственный веб-портал оператора. Публичных исследований, которые связывали бы этот инструмент с известной группой, нет. Поэтому вывод об авторстве здесь не делается.

Атрибуция двух кампаний различается. Первая совпадает по инфраструктуре и приёмам с активностью вьетнамской криминальной группы, которую в марте 2026 года описала компания Cyble. Та кампания распространяла другое вредоносное ПО и была нацелена на соискателей в Индии, Бангладеш, Нидерландах, Швеции и США. Вторая цепочка ни с чем публично не пересекается. У неё собственная инфраструктура, собственный портал для операторов и собственный набор инструментов.

Общие черты двух операций - тема вакансий, документ-обманка, скрытая загрузка и работа в памяти. Однако такой набор приёмов давно стал обычной практикой у не связанных между собой группировок. Совпадение методов само по себе не доказывает общего заказчика.

Возможности PureRAT после заражения широки. Программа собирает сведения о системе, ищет криптовалютные кошельки в браузерных расширениях и в настольных приложениях, перехватывает нажатия клавиш. Оператор может подгружать дополнительные модули: удалённое управление рабочим столом, работу с буфером обмена, сбор учётных данных, выполнение команд. Также программа отправляет на сервер управления отпечаток заражённой машины. Нетипично долгий срок действия сертификата, которым защищён канал связи, сам по себе служит признаком для поиска.

Имплант второй кампании ведёт себя осторожнее. Перед выходом на связь он проверяет, не работает ли он в исследовательской среде. Он оценивает время непрерывной работы системы, объём памяти, размер диска и разрешение экрана. Малые значения указывают на автоматизированный анализ, и тогда заражение прекращается. Пороговые значения подобраны так, чтобы обычные рабочие машины проверку проходили. После проверок программа формирует постоянный идентификатор машины и регистрируется на сервере управления.

Наиболее трудоёмкая часть работы приходится на этап закрепления. Первая цепочка устанавливает три независимых механизма и держит две зеркальные папки с копиями. Удаление одного артефакта не устраняет заражение. Уцелевшие задачи и подписки восстанавливают стёртое, а зеркальная папка возвращает удалённые файлы. Поэтому разбор инцидента нужно сразу планировать с учётом полного набора механизмов.

Для компаний риски распределены неравномерно. Кадровые службы и рекрутинговые агентства получают такие письма чаще других. Заражение рабочей станции открывает путь к внутренним данным и корпоративным системам. Одновременно растёт нагрузка на службу поддержки, которой приходится разбираться с последствиями.

Отраслевым специалистам стоит сместить внимание с готовых сигнатур на поведение. Подозрительным остаётся запуск подписанной системной программы из папки загрузок. Настораживает и удаление метки о загрузке из интернета сразу после распаковки архива. Полезно ограничивать исходящие соединения нестандартными портами и проверять новые домены, к которым обращаются скриптовые узлы. Отдельного внимания заслуживают учётные записи: двухфакторная аутентификация снижает ущерб от перехваченных паролей.

Соискателям достаточно простого правила. Не открывать вложения с предложениями работы, если их прислал незнакомый человек. Проверять адрес отправителя и название организации по официальным каналам. Обновлять систему и офисные приложения. Эти меры не гарантируют полной защиты, но заметно сокращают число успешных попыток.