Эксперты раскрыли масштабную сеть фишинговых сайтов, распространяющих троян SilverFox

remote access Trojan

Киберпреступники активно используют фишинговые сайты для распространения вредоносного ПО, включая троян SilverFox (также известный как «Серебряная лиса»). Этот троянец, представляющий собой удаленный доступ (RAT), позволяет злоумышленникам получать контроль над зараженными устройствами, красть конфиденциальные данные и внедрять дополнительные вредоносные модули.

Описание

Аналитики из лаборатории 404 компании Knowsec провели детальное расследование, начав с фишингового ресурса, подделывающего официальный сайт корпоративного мессенджера Lark (разработка ByteDance). Исследователи использовали платформу ZoomEye для анализа инфраструктуры злоумышленников, выявив целую сеть связанных между собой вредоносных сайтов.

Как работает схема?

Атака начинается с поисковой оптимизации - преступники настраивают продвижение поддельных сайтов в выдаче популярных поисковиков. Пользователи, ищущие офисные приложения (например, клиенты для видеоконференций или мессенджеры), видят в результатах фишинговые страницы, имитирующие легальные ресурсы. На этих страницах предлагается скачать «установщик», который на самом деле содержит вредоносный код.

фишинговая страница

Исследователи обнаружили, что злоумышленники активно используют шаблонизированные страницы с идентичными элементами: одними и теми же скриптами, изображениями и текстовыми блоками. Подобный подход позволяет быстро развертывать новые площадки и минимизировать затраты на поддержку инфраструктуры.

Масштабы кампании

Анализ показал, что сеть включает 2639 фишинговых доменов, связанных с 609 IP-адресами. Большинство доменов зарегистрировано в зонах .top (76,96%), .cn и .icu. При этом некоторые IP-адреса обслуживают сотни доменов одновременно - например, 156.251.25.112 связан с 292 поддельными сайтами.

Среди особенностей инфраструктуры:

  • Использование Let’s Encrypt: 93% сайтов используют бесплатные SSL-сертификаты с коротким сроком действия (90 дней), что упрощает массовое развертывание.
  • Схожие названия файлов: Вредоносные установщики маскируются под легитимные архивы (например, Chrome_Setup_64bit.zip, AnyDesk_Setup_x64.zip), чтобы обойти защитные механизмы браузеров и антивирусов.
  • Типовые тексты: На страницах часто встречается описание, изначально созданное для Chrome, но скопированное и для других программ без изменений.

Заключение

Исследование подтверждает высокий уровень автоматизации в подобных атаках. Злоумышленники оперативно адаптируются, меняя домены и обновляя шаблоны, что усложняет их блокировку. Эксперты рекомендуют компаниям обновлять списки индикаторов компрометации (IoC) и применять комплексные решения для защиты от фишинга и целевых угроз.

Индикаторы компрометации

Комментарии: 0