Фальшивые налоговые документы внедряют троян со скрытым рабочим столом в банковскую сферу Латинской Америки

Атака начинается с мошеннического письма или перехода на поддельный сайт, где пользователю предлагают скачать документ, якобы готовый к подписанию. Вредоносная страница копирует настоящий логотип DocuSign, однако ошибки в португальском языке выдают подделку. Для большей убедительности злоумышленники генерируют отдельный ZIP-архив для каждого посетителя. Внутри находятся ярлык Windows с названием, похожим на налоговую квитанцию, и несколько текстовых файлов с вымышленными данными реально существующих бразильских компаний. Открытие ярлыка запускает скрытый загрузчик, который скачивает из интернета следующую стадию атаки. Перед выдачей архива страница проверяет, не открыта ли она в автоматизированной среде, а также изучает браузер и параметры экрана посетителя, поэтому часть систем автоматического анализа не получает образец вредоносного кода.

Помимо классической загрузки по ссылке применяется и другой способ доставки. В ряде случаев пользователю показывают инструкцию, которая якобы устраняет ошибку при просмотре документа. Следуя ей, жертва самостоятельно запускает загрузку трояна, что позволяет обойти автоматические фильтры вложений. Скачанный файл при этом представляет собой самораспаковывающийся архив: вместе с основным вредоносным модулем в него включены настоящие библиотеки с открытым исходным кодом, что делает состав папки похожим на обычное приложение. Исследование ANY.RUN показало, что троян маскируется под компонент обновления Windows и содержит поддельные сведения о разработчике, однако при этом не имеет цифровой подписи.

Установленная вредоносная программа создаёт скрытый виртуальный рабочий стол. Оператор получает возможность просматривать содержимое экрана, имитировать движения мыши и нажатия клавиш, а также перехватывать вводимые данные. Кроме того, троян похищает информацию из браузеров: историю посещений, файлы cookie и сохранённые учётные записи. Вредоносный код способен принудительно открывать браузер жертвы на произвольной странице, например на поддельном портале банка. Для связи с управляющим сервером используется порт, характерный для игрового трафика, что затрудняет выявление аномалий в сетевых журналах.

Отдельного внимания заслуживает устойчивость трояна к перезагрузке системы. После запуска он копирует себя в отдельную папку и добавляет ярлык в автозагрузку, поэтому вредоносная программа продолжает работу после выключения и повторного включения компьютера. При этом троян сверяет список запущенных процессов с перечнем из более чем двадцати антивирусных продуктов. Если обнаруживается защитное ПО, программа снижает свою активность и становится менее заметной для мониторинга. Командные серверы кампании размещены во Франкфурте, тогда как серверы доставки файлов работают в другой инфраструктуре. Такое разделение затрудняет отслеживание и блокировку всей цепочки атаки.

Инфраструктурный анализ показывает, что мошенники используют свои инструменты не в единственной кампании. На тех же серверах обнаружены образцы с другими темами приманок, включая поддельные порталы крупных бразильских банков. Это указывает на серийный характер активности: злоумышленники меняют названия организаций и способы доставки, сохраняя общий набор вредоносных функций. Точная атрибуция пока не подтверждена, однако используемая тактика частично совпадает с методами, которые ранее применялись в кампаниях Silver Fox и Winos4.0. Основной конечной целью выглядит финансовая выгода: получение доступа к банковским счетам и платёжным системам.

Для финансовых организаций угроза от подобного трояна не ограничивается одним заражённым компьютером. Скрытый виртуальный рабочий стол позволяет атакующим совершать действия от имени легального пользователя, поэтому подозрительные операции могут выглядеть как обычная работа сотрудника. Похищенные пароли и данные сессий открывают доступ к корпоративным системам и внутренним сервисам. Чем дольше троян остаётся незамеченным, тем выше вероятность того, что злоумышленники доберутся до критических активов и выведут конфиденциальные данные.

Снизить риск помогают обучение персонала и контроль за типичными рабочими сценариями. Сотрудникам бухгалтерии и финансовых отделов следует проверять любые неожиданные уведомления о подписании документов через официальные контакты отправителя. Скачанные из интернета архивы и установщики рекомендуется открывать в изолированной среде, чтобы до запуска в рабочей сети увидеть их реальное поведение. Полезно также отслеживать появление новых файлов в автозагрузке и необычные команды, которые выполняются без участия пользователя. Действия при реагировании на инцидент должны предусматривать удаление всех компонентов трояна и проверку других устройств, поскольку программа может оставаться активной даже после очистки первоначального файла-установщика.

Атаки с использованием поддельных налоговых документов выявляют уязвимость привычных рабочих процессов, связанных с отправкой счетов и электронным подписанием. Мошенники активно адаптируют методы доставки, однако признаки вредоносного поведения остаются стабильными, что даёт службам защиты возможность обнаруживать угрозу на ранних стадиях. Поведенческий анализ в сочетании с актуальными данными об угрозах помогает выявить скрытое удалённое управление раньше, чем операторы успеют нанести существенный ущерб.