Кампания APT37 с трояном NarwhalRAT нацелена на кражу данных через целевой фишинг и скрытые каналы управления

Атака начиналась с тщательно подготовленных писем, замаскированных под уведомления от группы учётных записей Microsoft и предупреждения о киберугрозах. Получатели, доверившись подставному отправителю, открывали вложение и активировали вредоносный ярлык. После этого на компьютер скрыто устанавливался шпионский модуль, скомпилированный из Python-кода. Такой подход позволял злоумышленникам обходить защитные решения, поскольку легитимный интерпретатор Python часто не вызывает подозрений у средств безопасности.

Для взаимодействия с заражёнными системами операторы APT37 выстроили двухуровневую командно-контрольную инфраструктуру. Первый уровень включал ретрансляционный сервер, размещённый на территории Южной Кореи. Второй уровень использовал облачный API популярного файлового сервиса в качестве скрытого промежуточного хранилища команд и собранных данных. Подобная схема с разделением управляющих потоков серьёзно затрудняет отслеживание и блокировку вредоносной активности сетевыми администраторами.

По данным исследователей Genians Security Center, первоначальная выборка сетевых индикаторов включала пять доменных имён и шесть IP-адресов. Детальный анализ, проведённый с привлечением инструментов WhoisXML API, позволил расширить картину угрозы. Выяснилось, что один из клиентских адресов в течение пяти дней многократно обращался к одному из вредоносных доменов. Кроме того, 77 уникальных IP-адресов, вероятно принадлежащих жертвам, связывались с шестью IP-индикаторами кампании в период с декабря 2025 по июнь 2026 года.

Изучение регистрационных данных показало, что вредоносные домены создавались с 1999 по 2023 год. Использование столь возрастных доменов - осознанная тактика: давно зарегистрированные имена реже попадают в блокирующие списки и вызывают меньше подозрений у систем фильтрации. Все IP-адреса управляющей инфраструктуры географически располагались в Южной Корее и обслуживались тремя местными интернет-провайдерами, что соответствует заявленному исследователями наличию корейского ретрансляционного узла.

Дальнейший поиск артефактов в исторических DNS-записях и данных WHOIS позволил обнаружить 888 дополнительных индикаторов, которые пока не были задействованы в атаках. Среди них 79 доменов, связанных с электронными адресами, использованными при регистрации вредоносных имён, 792 домена, размещённых на тех же выделенных серверах, что и управляющие IP-адреса, и ещё 17 доменов, содержащих общие текстовые строки с исходными индикаторами. Важно отметить, что на момент публикации отчёта ни один из этих вновь выявленных объектов не участвовал во вредоносной активности, однако они могут быть задействованы в будущих операциях.

Группировка APT37 действует как минимум с 2012 года и традиционно специализируется на сборе разведывательной информации, представляющей интерес для Пхеньяна. Её целями становились государственные учреждения, оборонные предприятия, аналитические центры и технологические компании в Южной Корее, Японии, Вьетнаме, России, Индии, Китае, Непале, Румынии, Кувейте и других странах Ближнего Востока. За прошедшие годы за группой зафиксирован ряд заметных кампаний - Operation Daybreak, Operation Erebus, Golden Time, Evil New Year и другие, каждая из которых использовала собственный набор инструментов и векторов проникновения.

Текущая кампания демонстрирует характерный для APT37 высокий уровень подготовки и нацеленность на длительное присутствие в скомпрометированной инфраструктуре. Многообразие функций NarwhalRAT позволяет собирать широкий спектр данных: от документов и учётных записей до содержимого съёмных носителей, а возможность удалённого исполнения произвольного кода даёт операторам полный контроль над системой. Применение облачного сервиса для передачи команд добавляет атакующим гибкости: они могут менять адреса управляющих серверов без модификации самого вредоносного кода и не рискуют потерять контроль при блокировке статичных IP-адресов.

Для защиты от подобных атак организациям следует последовательно укреплять несколько рубежей. Во-первых, необходимо обучать сотрудников распознавать признаки целевого фишинга, особенно когда злоумышленники мимикрируют под легитимные сервисы Microsoft и рассылки по безопасности. Во-вторых, стоит ограничить исполнение ярлыков и скриптов, полученных из внешних источников, с помощью политик ограниченного использования приложений. В-третьих, регулярный анализ сетевого трафика и мониторинг обращений к недавно зарегистрированным или редко используемым доменам помогает своевременно выявлять скрытые каналы управления. Наконец, отслеживание подозрительных процессов, запущенных интерпретатором Python, способно обнаружить активность скомпилированных Python-троянов на ранней стадии.

Масштабное расширение списка индикаторов, проведённое аналитиками, подчёркивает важность непрерывного сбора и обогащения данных об угрозах. Даже если вновь обнаруженные домены пока не применялись для нападений, их своевременная идентификация даёт защитникам фору: появляется возможность внести превентивные правила фильтрации ещё до того, как злоумышленники решат задействовать эти ресурсы. Такой проактивный подход остаётся одной из немногих стратегий, позволяющих опережать хорошо финансируемые и целенаправленные группировки уровня APT37.