Группировка DENOmination Group атакует российские банки и ОПК через легитимную среду Deno

Один из типичных сценариев заражения выглядит так. Жертва получает письмо с финансовым содержанием, например, о срочной оплате просроченного кредита. Во вложении находится архив, защищённый паролем, который тут же приводится в тексте. Это затрудняет автоматическую проверку почтовыми фильтрами. Внутри архива скрывается файл, маскирующийся под документ PDF, но на самом деле являющийся установочным пакетом Windows. После запуска он незаметно инициирует цепочку загрузки дополнительных модулей.

Ключевым звеном этой цепочки становится Deno - популярная среда выполнения JavaScript и TypeScript с открытым исходным кодом. По данным отдела киберразведки PT ESC, вредоносный сценарий запускается именно через Deno с максимальными правами доступа. Такой подход позволяет коду свободно работать с файлами, сетью и другими ресурсами системы. При этом активность сложнее отличить от обычных процессов, поскольку используется официальный исполняемый файл Deno, а не классические инструменты вроде PowerShell или встроенных скриптов Windows.

В атаках задействованы два основных компонента. Первый называется DinDoor - это компактный загрузчик. Он определяет характеристики заражённого компьютера, проверяет доступность управляющего сервера и получает оттуда следующий модуль. Второй компонент, DenoRAT, представляет собой полноценного агента удалённого доступа. После установки он позволяет операторам выполнять произвольные команды, управлять файлами и собирать конфиденциальные данные. Среди функций DenoRAT - захват экрана, кража сохранённых паролей, данных автозаполнения и платёжных карт из браузеров, а также сбор информации из популярных менеджеров паролей и криптовалютных кошельков.

Особый интерес для защиты представляет способность DenoRAT создавать интерактивную командную оболочку и перенаправлять сетевой трафик через заражённый узел. В результате компьютер жертвы становится промежуточной точкой для доступа к внутренним ресурсам компании. Кроме того, вредоносная программа умеет распознавать установленные средства защиты, включая антивирусы и EDR-решения (системы обнаружения и реагирования на конечных точках). Это позволяет злоумышленникам адаптировать действия под конкретную среду.

Кампания продолжалась несколько месяцев, а способы доставки менялись. В одном случае использовались MSI-пакеты с финансовой тематикой, в другом - ярлыки Windows (LNK-файлы), замаскированные под документы Word с анкетами для операторов беспилотников. Также выявлен установщик DeltaScan, который маскируется под легитимное сканирующее ПО. Несмотря на разные начальные векторы, все они вели к запуску кода через Deno и последующей установке однотипных модулей DinDoor и DenoRAT.

Совокупность совпадений в логике, сетевой инфраструктуре и конфигурациях позволила объединить эпизоды под общим названием DENOmination Group. Однако, как отмечают аналитики, эта группа, вероятно, не является единственным оператором инструментов. Аналогичные компоненты встречались в активности других кластеров, что указывает на возможное использование модели "вредоносное ПО как услуга" (MaaS). Такой формат позволяет разным субъектам арендовать доступ к платформе и проводить собственные операции, не имея прямого отношения к разработке кода.

Для организаций это означает повышение сложности противодействия. Вредоносные модули могут загружаться динамически с управляющего сервера, а значит, их содержимое меняется без изменения исходного файла доставки. Поэтому даже проверенный антивирусом загрузчик может привести к установке опасного агента позже. В сложившихся условиях необходима многоуровневая защита: фильтрация вложений на почтовых шлюзах, поведенческий анализ рабочих станций и контроль запуска приложений. Регулярное обучение сотрудников распознаванию признаков фишинга остаётся одной из наиболее эффективных мер предотвращения подобных атак.