Группа исследователей кибербезопасности SentinelLABS совместно с Digital Security Lab of Ukraine раскрыла скоординированную кампанию таргетированного фишинга, нацеленную на сотрудников международных гуманитарных организаций и украинских государственных учреждений. Атака, получившая название PhantomCaptcha, демонстрирует высокий уровень подготовки злоумышленников и сложную многоступенчатую архитектуру.
Описание
Целями злоумышленников стали сотрудники Международного комитета Красного Креста, Детского фонда ООН (UNICEF), Норвежского совета по беженцам, Реестра ущерба Совета Европы для Украины, а также региональных администраций Донецкой, Днепропетровской, Полтавской и Николаевской областей. Особое беспокойство вызывает тот факт, что атака была направлена против организаций, участвующих в оказании помощи в условиях войны.
Атака началась 8 октября 2025 года с рассылки электронных писем, маскирующихся под официальные сообщения от имени Офиса президента Украины. Сообщения содержали вредоносный PDF-документ, который внешне выглядел как легитимное правительственное сообщение. При открытии документа и переходе по встроенной ссылке жертвы перенаправлялись на поддельную страницу проверки Cloudflare с имитацией капчи.
Исследователи обнаружили, что основная инфраструктура атаки на домене zoomconference[.]app работала всего одни сутки, что свидетельствует о тщательном планировании операции и стремлении злоумышленников минимизировать время обнаружения. При этом подготовка к кампании велась на протяжении шести месяцев, начиная с марта 2025 года.
Особенностью атаки стало использование социальной инженерии по схеме "Paste and Run" (вставь и запусти), когда пользователю предлагается скопировать и выполнить команду в диалоговом окне "Выполнить" Windows. После нажатия на флажок "Я не робот" появлялось всплывающее окно на украинском языке с инструкцией скопировать токен и вставить его в системный диалог. Реализованная функция copyToken() помещала в буфер обмена команду PowerShell, которая загружала и выполняла следующий этап вредоносной нагрузки.
Многоступенчатая схема доставки вредоносного кода включала три этапа. Первый этап представлял собой сильно обфусцированный PowerShell-скрипт размером более 500 КБ, основная функция которого сводилась к загрузке второй стадии. Второй этап выполнял сбор системной информации и отключение журналирования команд PowerShell. Финальная нагрузка представляла собой бэкдор на основе WebSocket, обеспечивающий удаленное выполнение команд и exfiltration данных.
Анализ инфраструктуры показал, что домены кампании были размещены на российском хостинг-провайдере KVMKA. Исследователи также обнаружили связь с дополнительным вектором атаки через мобильные устройства, где распространялось поддельное Android-приложение, собирающее геолокацию, контакты, медиафайлы и другую информацию с компрометированных устройств.
Эксперты отмечают возможную связь кампании с группой COLDRIVER. Однако окончательная атрибуция требует дополнительного расследования.
С точки зрения защиты, специалисты рекомендуют организациям усилить мониторинг выполнения команд PowerShell и WebSocket-соединений к подозрительным доменам. Повышение осведомленности пользователей о методиках социальной инженерии "Paste and Run" также может помочь в предотвращении подобных атак.
Кампания PhantomCaptcha демонстрирует растущую изощренность киберпреступников, целенаправленно атакующих гуманитарные организации в зонах конфликтов. Использование кратковременной инфраструктуры, сложной обфускации и многоэтапной схемы доставки делает обнаружение и анализ таких угроз особенно сложной задачей для специалистов по безопасности.
Индикаторы компрометации
