Кампания Lampion атакует португальских пользователей через финансовый фишинг и многоступенчатое заражение

Атака начинается с ZIP-архива, который якобы содержит платёжную квитанцию. Внутри находится HTML-файл размером около 1,3 мегабайта, наполненный бессмысленными данными для затруднения анализа. При открытии в браузере он отображает поддельную страницу португальского интернет-портала SAPO, предлагающую скачать файл. В фоне выполняется вредоносный код, который связывается с командно-контрольным сервером и загружает следующий этап заражения. Письмо содержит не только вложение, но и элементы, повышающие доверие: уведомление о конфиденциальности, автоматическую подпись с адресом и ссылками на социальные сети. Эти приёмы типичны для кампаний Lampion и помогают письму выглядеть как легитимная деловая переписка.

Исследователи Acronis Threat Research Unit выяснили, что загрузка скрипта второго этапа сильно ограничена географически: получить его вне Португалии практически невозможно. Связь с сервером происходит через закодированный адрес, который после расшифровки ведёт на вредоносный PHP-скрипт на подконтрольном злоумышленникам домене. Из-за строгих географических фильтров исследователям не удалось загрузить следующий этап из-за пределов целевой страны. Следующим звеном цепочки является VBS-скрипт, также раздутый до 7 мегабайт мусорным кодом, тогда как его настоящий объём полезной логики составляет всего 22 килобайта. Этот этап создаёт в системной временной папке скрипт-загрузчик и устанавливает задачу в планировщике Windows для его выполнения.

Финальный VBS-скрипт - самый сложный элемент атаки. После удаления запутывающего кода его логика насчитывает около 1000 строк. Скрипт проверяет, не запущен ли уже другой экземпляр вредоносной программы, и формирует уникальный идентификатор жертвы на основе характеристик компьютера: имени пользователя, хоста, данных BIOS, материнской платы и графического процессора. Затем он связывается с сервером управления. Если ранее полезная нагрузка не была загружена, скрипт запрашивает адрес для скачивания и имя файла.

Загрузка конечной вредоносной программы происходит блоками по 10 мегабайт через HTTP. Такой метод необходим, потому что итоговый DLL-файл имеет аномально большой размер - около 750 мегабайт. Подобный объём достигается за счёт добавления бесполезного наполнения, а не за счёт сложности функций. После полной загрузки файл перемещается в папку %APPDATA% (стандартная системная папка для данных приложений) и выполняется с помощью штатной утилиты Windows rundll32, которая обращается к экспортируемой функции jangadeiro. Это слово с португальского означает "рыбак на плоту" и указывает на бразильское происхождение малвари. Для обеспечения постоянного присутствия в системе VBS-скрипт также создаёт несколько задач в планировщике: для перемещения файла, для повторного запуска и для самоудаления через пять минут. Дополнительно скрипт отправляет на сервер данные об установленном антивирусном продукте, имени компьютера и пользователя.

Lampion известна с декабря 2019 года и происходит из семейства ChePro. Ранее она также была нацелена на португалоязычных пользователей, но не на жителей Бразилии. Текущая кампания продолжает эту тенденцию. Небольшое количество заражений зафиксировано в Испании (4,3 процента) и Великобритании (1,1 процента), что, скорее всего, является случайным побочным эффектом, а не целенаправленной атакой на эти страны.

Использование множества этапов и сильного запутывания кода на каждом шаге затрудняет обнаружение и анализ вредоносной активности. Злоумышленники применяют раздутые файлы, зашифрованные строки, динамически генерируемые скрипты и изолируют этапы друг от друга, чтобы скрыть взаимосвязь между ними. Основными мерами защиты от подобных угроз остаются регулярное обновление операционной системы и антивирусных баз, а также осторожность при открытии вложений из неожиданных писем. Организациям, чьи сотрудники работают с португальским языком, стоит обратить особое внимание на признаки атаки: появление очень больших DLL-файлов в папке AppData и выполнение rundll32 с необычными экспортируемыми функциями.