Фальшивый видеофайл доставил программу удалённого доступа NetSupport через PowerShell

Заражение начинается с команды, которую пользователь запускает самостоятельно. Промежуточные этапы удаляют историю диалогового окна "Выполнить". Следовательно, расчёт строится на том, что жертва сама скопирует и выполнит предложенную строку. Чаще всего так работают схемы, где человеку предлагают "исправить ошибку" или подтвердить, что он не робот. Сервер доставки отдаёт первый скрипт как обычную веб-страницу. Затем скрипт сверяет имя компьютера со списком заранее заданных значений. Если имя совпадает, работа немедленно прекращается. Потом он скрывает собственное окно и проверяет, не заражена ли машина раньше. Такая проверка избавляет авторов атаки от повторного запуска на уже скомпрометированном узле. Финальный этап оставляет файл-метку, а предыдущие лишь убеждаются в её отсутствии.

Второй этап работает незаметно для пользователя. Промежуточный сценарий обращается к тому же узлу и загружает видеофайл-носитель. Запрос выглядит как обычный просмотр медиа: подставляется подпись браузера Chrome. Далее скрипт разбирает внутреннюю структуру контейнера и ищет служебный блок, уникальный для конкретной сборки. Если блока нет, работа останавливается. Владельцы инфраструктуры часто меняют файлы-носители и не сохраняют совместимость. Поэтому прежние сборки перестают работать даже тогда, когда сервер доставки остаётся доступным. Тем самым ломаются и собственные развёртывания, и попытки анализа.

Масштаб кампании оказался шире одной точки доставки. По данным Censys ARC, выявлено 18 различных сборок на 40 активных узлах. Они распределены по шести автономным системам и четырём странам. Автономная система - это крупная сеть под управлением одного оператора, например провайдера или хостинговой компании. Серверы доставки стоят у пяти провайдеров во Франкфурте, Лос-Анджелесе и Хельсинки. Управляющий узел находится в швейцарском Беллинцано. Два домена для связи с командным сервером оператор зарегистрировал с разницей в 77 секунд. Инфраструктуру собрали за сутки до первых находок: домены оформили 21 августа, тогда же подготовили площадки доставки. Подобная синхронность указывает на единое управление обеими частями схемы.

Носитель устроен необычно. Почти весь его объём занимает один служебный блок метаданных. Внутри лежат ключ шифрования и сжатый скрипт. После распаковки он вырастает почти до 17 мегабайт. Видеодорожка имеет нулевые размеры и лишена параметров декодирования. Поэтому файл проходит поверхностную проверку типа, но остаётся нерабочим. Ключ хранится в том же блоке. Значит, содержимое можно восстановить без запуска кода. Это упрощает разбор образца и помогает быстро находить похожие файлы. Достаточно искать медиафайлы, которые опознаются как видео, но не декодируются.

Третий этап устанавливает клиент NetSupport Manager в случайно названную вложенную папку в общедоступном каталоге пользователей. Вместе с ним на диск попадают посторонние библиотеки, в том числе Vulkan и SwiftShader. Они имитируют обычную установку программного обеспечения и усложняют работу группы реагирования. Авторы сборки отключили все интерактивные функции клиента, поэтому он работает без окон и без уведомлений. Для закрепления в системе создаётся запись автозапуска под именем системного компонента защиты Windows. Так вредоносный автозапуск выдают за служебный процесс. После записи метки система считается успешно заражённой, и повторный запуск цепочки блокируется.

Связь с командным сервером идёт по двум адресам из настроек. Первый работает, второй ждёт в резерве и пока не имеет записи в системе доменных имён. Опрос происходит раз в минуту. На основном узле открыт защищённый канал для передачи управляющих команд. Серверы доставки и управления используют сайты российских компаний как прикрытие. Они занимают основной защищённый порт и создают видимость законного ресурса для случайного посетителя. При этом каналы доставки и управления работают параллельно. Следы прежнего прикрытия на управляющем узле относятся к июню 2026 года.

Для организаций риск состоит в тихом удалённом доступа к рабочей станции. Злоумышленник получает возможность изучать внутреннюю сеть, собирать документы и продвигаться к другим системам. Обнаружить такое заражение сложно, поскольку легитимный инструмент администрирования редко вызывает вопросы у средств защиты. Помогают ограничение запуска сценариев автоматизации, контроль записей автозапуска и запрет на исполнение файлов из общедоступных каталогов. Кроме того, стоит проверять вложения и блокировать медиафайлы, которые не открываются плеерами. Отдельного внимания требуют случаи, когда сотрудник вручную вводит команды по просьбе неизвестного собеседника.

Описанный способ доставки опирается на доверие к расширению файла. Проверка типа смотрит на первые байты и служебную оболочку, а не на содержимое. Пока эта привычка сохраняется, нагрузки будут прятать в изображениях, архивах и медиа. Готовность к такому развитию событий определяется не одной технологией, а сочетанием контроля запуска, наблюдения за автозапуском и обучения сотрудников.