Новая фишинговая кампания нацелена на государственные, местные, племенные и территориальные органы власти США. Письма выглядят как уведомление Google Drive о предоставлении доступа к документу. Отправляет их настоящий почтовый сервер Google. Поэтому стандартные проверки подлинности отправителя такое письмо проходит. После перехода по ссылке на компьютер жертвы попадает троян. Следом на нём появляются два легальных средства удалённого мониторинга и управления (RMM). Первое обеспечивает быстрое закрепление в сети, второе открывает долгий доступ. Такие учреждения отвечают за выплаты, реестры и персональные данные граждан. Успешная атака означает простой услуг и риск утечки. Главный интерес исполнителей, судя по всему, финансовый. На это указывает и прежняя активность группы в транспортной отрасли.
Описание
Рассылка идёт по учреждениям штатов, городов, округов и племенных общин. Каждое письмо содержит широкий список адресатов в копии, причём из разных отраслей. Значит, отбор целей идёт без разбора. Для рассылки исполнители завели учётные записи в двух собственных доменах. Название одного из них отличается от имени легитимного сервиса всего парой букв. Содержание писем повторяет обращение юридической фирмы. В первом случае речь идёт о нарушении требований с истекающим сроком. Во втором - о резко выросшем долге. Темы писем злоумышленники набирают символами кириллицы и греческого алфавита, похожими на латинские буквы. Такой приём помогает обойти фильтры почтовых шлюзов и служб безопасности.
Ссылка из письма ведёт на страницу с поддельным документом сервиса DocuSign. Кнопка загрузки открывает новую вкладку. Там браузер жертвы сам собирает и скачивает скрипт-загрузчик из частей, размещённых в облачном хранилище Google. Загрузчик запускается от имени пользователя, однако сразу запрашивает права администратора. Такой подход удобен исполнителям. Чтобы сменить управляющий адрес, достаточно обновить один элемент, а не всю инфраструктуру. Ранее похожую схему уже описывали для февраля и марта 2026 года. Тогда под удар попали транспортные и логистические компании. По данным CIS Cyber Threat Intelligence и Proofpoint Threat Research, речь идёт об одной и той же группе.
Загрузчик запускает троян, написанный на PowerShell (среда автоматизации задач в Windows). Троян открывает постоянный двусторонний канал связи с управляющим сервером. Соединение не прерывается, поэтому оператор работает с чужой машиной в режиме реального времени. На этом этапе он отдаёт всего три вида команд. Первая выполняет произвольные действия в системе и возвращает результат. Вторая открывает нужный сайт в браузере жертвы. Третья запускает Chrome во всех профилях пользователя. Две последние команды дают доступ к уже открытым сессиям в банковских и платёжных сервисах. Через браузер исполнитель видит те же страницы, что и сама жертва. Ему не нужно подбирать пароли. Многие корпоративные фильтры проверяют лишь начало такого соединения. Сам обмен данными они не изучают. Поэтому канал подолгу остаётся незамеченным.
Троян закрепляется в системе двумя способами. Основной - задача планировщика с наивысшими правами. Она запускается при включении компьютера и при входе пользователя. Дополнительный - запись в реестре на случай, если задачу удалят. Свой файл троян прячет в папке, название которой связано с Telegram. Никаких функций этого мессенджера в программе нет. Папка нужна только для маскировки. Каждые двадцать секунд троян подтверждает связь с сервером. Если соединение обрывается, он восстанавливает его сам.
Затем оператор скачивает из облачных хранилищ и ставит два средства удалённого доступа. Установка идёт без уведомления пользователя. ScreenConnect настроен на скрытую работу без запросов к владельцу компьютера. Pulseway зарегистрирован в арендаторе, оформленном под службу ремонта компьютеров. Оба продукта подписаны законными сертификатами и проходят проверки антивирусов. Именно поэтому их появление на машине редко вызывает вопросы. Кроме того, каждое средство создаёт собственный независимый канал управления. Даже если троян найдут и удалят, доступ сохранится.
За время наблюдения выявили четыре версии кампании. Первая использует загрузчик с внедрённым внутрь трояном и задачу планировщика. Вторая прячет троян в установочном пакете и запускает его только в памяти. Жертве при этом показывают окно сервиса DocuSign, чтобы отвлечь внимание. Третья версия записывает код построчно и сама запрашивает повышенные права. Четвёртая, самая свежая, добавляет шифрование канала связи, полноценный обход контроля учётных записей пользователя (UAC) и уникальный набор переменных для каждой сборки. Из-за этого каждая копия вредоносной программы имеет собственный цифровой отпечаток. Все четыре версии связаны между собой. Совпадает код, инфраструктура и даже внешний вид панели управления, которую видят исполнители. Смена версий указывает на непрерывную работу над кампанией.
Данные сетевого мониторинга показали, что сигналы на управляющие серверы шли из сетей нескольких организаций-членов MS-ISAC (объединение центров обмена информацией о кибератаках между штатами). Значит, последствия не ограничиваются одной организацией. Круг получателей писем выходит за пределы транспорта и логистики. Поэтому цели кампании, скорее всего, продолжат расширяться. Учреждениям стоит своевременно обновлять системы и ограничивать права пользователей. Полезно контролировать установку средств удалённого управления и вести их учёт. В финансовых сервисах помогает двухфакторная аутентификация. Уведомления о доступе к документам лучше проверять через отправителя, а не по ссылке из письма. Простая проверка ссылок и внимательность сотрудников снижают риск. Вероятность новых волн рассылки остаётся высокой.
Индикаторы компрометации
