Финансовая кампания июля 2026 года: новые варианты JSOutProx нацелены на банки Азии и Африки

Письма выглядят как обычная рабочая переписка по платежам. Отправитель представляется контрагентом или сотрудником банка, а тема касается перевода или сверки документов. Во вложении лежит архив, который нужно открыть и распаковать вручную. Деловой тон и упоминание срочности подталкивают получателя действовать быстро и не проверять адрес отправителя. Такой подход бьёт точно в цель, потому что финансисты привыкли получать документы письмом.

Для доставки злоумышленники используют публичный репозиторий на GitLab. Аккаунт зарегистрирован на вымышленное имя, а файлы в хранилище названы так, чтобы выглядеть частью деловой переписки. Всего там лежат пять архивов, и в каждом - один сценарий на встроенном в Windows языке автоматизации. Архивы открыты для скачивания, поэтому их мог забрать кто угодно. Расчёт строится на том, что получатель сам откроет вложение и не станет проверять источник.

Пять архивов, которые изучила команда PelagosX, запускают код без единого окна на экране. Пользователь не видит ни сообщений, ни признаков работы. Один вариант опирается на штатную утилиту Windows, которую системы защиты редко блокируют. Второй действует по похожей схеме, но вызывает полезную нагрузку иначе. При необходимости сценарий перезапускает себя в подходящей разрядности системы. Такой приём помогает обойти ограничения, рассчитанные на обычные приложения.

Внутри сценарии упакованы и запутаны намеренно. Читаемый текст спрятан за слоями преобразований, поэтому беглый просмотр файла ничего не даёт. Слои удалось снять статически, без запуска кода на машине. В результате открылись настройки, список команд, обращения к системным компонентам и адреса управляющих серверов. Две версии выложили с разницей в неделю, хотя устроены они почти одинаково.

После запуска программа собирает сведения о заражённом компьютере. Её интересуют версия Windows, разрядность процессора, перечень запущенных процессов и общие параметры системы. Разведка идёт через штатные средства самой системы, поэтому сторонние программы её не замечают. Такая проверка нужна, чтобы понять ценность устройства и выбрать дальнейшие шаги. Собранные данные программа готовит к отправке на сервер злоумышленников.

Связь с управляющим сервером идёт через обычные веб-запросы. У каждого варианта прописан ровно один адрес, построенный на динамическом DNS (служба, позволяющая менять адрес сервера на ходу). Запросы уходят на высокие порты и маскируются под трафик браузера Edge или Chrome. Для этого подставлены заголовки, характерные для этих программ. Внешне обмен почти не отличается от обычного посещения сайта. По умолчанию программа выходит на связь каждые десять секунд.

Набор задач у оператора широкий. Он может обновить полезную нагрузку, перезапустить её, разорвать соединение и изменить интервал связи. Отдельная команда позволяет выполнить на заражённой машине произвольный код на языке сценариев. Список задач приходит с сервера, поэтому поведение заражённого компьютера меняется со временем. Команды умеют править и настройки связи, из-за чего прежние сетевые признаки быстро устаревают. Для запуска программ и подготовки файлов используются штатные средства Windows. Всё это превращает рабочую станцию в управляемый извне узел.

Сходство двух вариантов указывает на общий конструктор. Совпадают структура команд, разделители полей, схема отправки данных и статический ключ шифрования. Различаются только управляющий адрес, дата сборки и служебная метка кампании. Метка у обоих вариантов одинакового формата, что подтверждает единую схему сборки. По совокупности признаков образцы относят к семейству JSOutProx, которое прежде связывали с группировкой SOLAR SPIDER. География приманок совпадает с прежними целями: Азиатско-Тихоокеанский регион, Ближний Восток, Южная Азия и Африка.

Для банков и платёжных сервисов риск двойной. Заражение рабочей станции сотрудника открывает доступ к внутренним системам и переписке. Приманки при этом рассчитаны на клиентов, которые привыкли получать платёжные документы письмом. Утечка сведений о клиентах и переводах обернётся штрафами и потерей доверия. Основная защита - проверка вложений до открытия. Финансовым организациям имеет смысл ограничить запуск сценариев на рабочих машинах и следить за обращениями к недавно созданным доменам.

Двухфакторная аутентификация и своевременные обновления снижают ущерб, если защита уже обойдена. Полезно также ограничить права обычных сотрудников на запуск служебных утилит системы. Кампания продолжается, и её авторы оперативно меняют адреса и сборки. Компаниям из платёжной сферы стоит считать такие письма подозрительными по умолчанию, а любое вложение с платёжным документом проверять по независимому каналу связи.