Аналитики компании ENKI в ходе расследования обнаружили новую версию вредоносной программы EtherRAT, нацеленную на операционную систему Windows. Распространяемая в виде MSI-файлов, эта угроза маскировалась под установщик модов для популярных видеоигр. В процессе изучения программного обеспечения эксперты установили связь между EtherRAT и ботнетом Tsundere через общую инфраструктуру командных серверов и сходство используемых смарт-контрактов в сети Ethereum. Это открытие указывает на растущую изощренность киберпреступников, которые активно используют блокчейн-технологии для скрытия своей деятельности.
Описание
Изначально EtherRAT был задокументирован как имплант на JavaScript, нацеленный на Linux-системы через уязвимость React2Shell (CVE-2025-55182). Однако текущее расследование показало, что злоумышленники адаптировали свою угрозу и для Windows. В частности, одна из вредоносных кампаний использовала архив "99 Nights Script.zip", содержащий файл "99 Nights Script Installer.msi". Название архива отсылает к популярному моду для игры Roblox, что является попыткой социальной инженерии, призванной заставить пользователей запустить вредоносный код. При выполнении MSI-файл создает в системе серию скриптов, которые в итоге расшифровывают и запускают основной полезную нагрузку (payload) EtherRAT.
Механизм заражения включает несколько этапов. Сначала исполняемый пакет создает в системной папке временные файлы, включая скрипт на языке JavaScript с обфускацией (запутыванием кода). Затем с помощью командного файла происходит загрузка среды выполнения Node.js, необходимая для запуска скрипта. Сам скрипт-дешифратор содержит методы противодействия анализу, такие как подавление вывода в консоль и обнаружение форматирования кода. После прохождения проверок скрипт расшифровывает основное тело вредоносной программы с использованием алгоритма AES-256-CBC и обеспечивает ее постоянное присутствие в системе (persistence) через добавление ключа в реестр Windows.
Ключевой особенностью EtherRAT является динамическое получение адресов командного сервера (C2, Command and Control). Вместо жестко заданных адресов вредоносная программа запрашивает их через смарт-контракты в сети Ethereum. Она отправляет запросы к девяти различным конечным точкам RPC и выбирает тот адрес C2, который встречается в ответах чаще всего. Для идентификации зараженной системы и хранения конфигурации EtherRAT генерирует уникальный путь на основе хеша имени компьютера и пользователя. Все это усложняет обнаружение и анализ угрозы.
В ходе дальнейшего исследования смарт-контрактов, связанных с EtherRAT, аналитики выявили дополнительные адреса и транзакции. Это позволило восстановить историю использования различных C2-серверов. Было обнаружено несколько IP-адресов и доменов, включая ресурсы, размещенные у российских хостинг-провайдеров, известных как "bulletproof", а также сервисы для отслеживания информации об устройствах. Более того, дата создания самого раннего из связанных контрактов (29 ноября 2025 года) предшествует публичному раскрытию уязвимости React2Shell. Это говорит о том, что инфраструктура для кампании готовилась заранее.
Наиболее значимым открытием стала установленная связь с ботнетом Tsundere. Этот ботнет, впервые описанный экспертами "Лаборатории Касперского", также использует смарт-контракты Ethereum для получения адресов управления. Аналитики ENKI обнаружили, что один из IP-адресов, используемых EtherRAT в качестве C2-сервера (91.215.85[.]42), также хостит панель управления ботнетом Tsundere под названием "Tsundere Reborn". Данная панель, в отличие от первоначальной версии, обладает расширенным функционалом, включая управление учетными записями "Работников", сканирование уязвимостей и генерацию вредоносных нагрузок для Linux, что указывает на расширение злоумышленниками целевого спектра.
Технический анализ смарт-контрактов выявил их структурное сходство. Хотя байт-коды контрактов, используемых Tsundere и EtherRAT, различаются, в них присутствуют функции с идентичными идентификаторами методов (Method ID), такие как getString и setString, что подтверждает общее происхождение или кооперацию разработчиков. Эксперты пришли к выводу, что, несмотря на недавнее обнаружение, угроза EtherRAT активно развивается. Злоумышленники целевым образом атакуют различные операционные системы, обновляют функциональность вредоносной программы и масштабируют свою блокчейн-инфраструктуру.
Для противодействия подобным угрозам специалисты по безопасности рекомендуют пользователям воздерживаться от загрузки и запуска файлов из непроверенных источников, особенно тех, что связаны с читами или модификациями игр. Командам безопасности в организациях необходимо наращивать потенциал по мониторингу индикаторов компрометации (IoC) и детектированию аномального сетевого трафика, связанного с обращениями к блокчейн-сетям. Постоянная эволюция тактик, техник и процедур (TTPs) злоумышленников требует столь же динамичного развития защитных мер.
Индикаторы компрометации
