В мае 2025 года аналитики Cisco Talos обнаружили новую угрозу - троян PylangGhost, созданный северокорейской хакерской группировкой Famous Chollima. Этот вредоносный инструмент является Python-версией ранее известного GolangGhost RAT и обладает схожими возможностями для удаленного доступа к зараженным системам.
Описание
Активность Famous Chollima, также известной как Wagemole, фиксируется с середины 2024 года. Группа специализируется на целевых атаках, используя фишинговые кампании, фальшивые вакансии и поддельные сайты для проверки навыков. В последних атаках злоумышленники сосредоточились на сотрудниках, работающих в сфере криптовалют и блокчейн-технологий, преимущественно в Индии.
Новый троян PylangGhost распространяется через поддельные сайты трудоустройства, имитирующие известные компании, такие как Coinbase, Robinhood и Uniswap. Жертвам предлагается пройти тестирование, после чего их просят скопировать и выполнить вредоносную команду для "установки необходимых драйверов". В зависимости от операционной системы (Windows или macOS) предлагаются разные инструкции, а Linux-пользователи пока не подвергаются атакам.
После выполнения команды на устройство загружается ZIP-архив, содержащий модули PylangGhost и Visual Basic Script, который распаковывает библиотеки Python и запускает троян через файл nvidia.py. Троян состоит из шести модулей, обеспечивающих сбор системной информации, кражу данных браузеров (включая пароли и куки), а также удаленное управление зараженным устройством.
PylangGhost использует HTTP-соединение с сервером управления, шифруя передаваемые данные алгоритмом RC4. Несмотря на схожесть с GolangGhost, Python-версия имеет некоторые отличия, включая версию 1.0 (против 2.0 у Golang).
Эксперты Cisco Talos отмечают, что Famous Chollima продолжает совершенствовать свои инструменты, адаптируя их под разные платформы. Пока нет данных о заражении пользователей продуктов Cisco, однако угроза остается актуальной для специалистов в области криптовалют. Рекомендуется проявлять осторожность при переходе по ссылкам из подозрительных предложений о работе и не выполнять непроверенные команды.
Аналитики также обращают внимание на то, что группировка использует многослойную схему атак: сначала собирает личные данные через фальшивые вакансии, а затем внедряет своих агентов в компании-жертвы. Это делает их операции особенно опасными для финансового сектора.
В ближайшее время ожидается дальнейшее развитие этой угрозы, включая возможные атаки на Linux-системы и использование новых методов социальной инженерии. Компаниям, работающим с криптовалютами, следует усилить кибербезопасность и обучать сотрудников распознаванию фишинговых схем.
Индикаторы компрометации
