Кибергруппировка UAC-0099 сменила тактику: атаки через легитимный Notepad++ и фальшивый плагин

Цепочка атаки начинается с фишингового письма, содержащего вложенное изображение. При нажатии на картинку жертва переходит по сокращённой ссылке, которая ведёт на файловый сервис, откуда автоматически скачивается ZIP-архив. Внутри архива находится VBS-скрипт с двойным расширением - например, "Заводской район.pdf .vbs" (большое количество пробелов перед .vbs скрывает истинный тип файла). При запуске скрипт загружает PDF-файл-приманку (чтобы отвлечь внимание) и архив "Evernote.zip".

Архив "Evernote.zip" содержит полный комплект установки Notepad++ версии 8.8.3, а также папку "/plugins/NppExport/", в которой лежат вредоносная библиотека "NppExport.dll", защищённый паролем архив "updater.rar" и исполняемый файл WinRAR. Сразу после извлечения скрипт запускает "notepad++.exe", что приводит к автоматической загрузке фальшивого плагина "NppExport.dll". Именно этот файл и классифицируется как новый инструмент LUNCHPOKE.

LUNCHPOKE разворачивает скрытую инфраструктуру: он создаёт каталог в общедоступной папке, распаковывает "updater.rar" (пароль уже встроен в код), копирует системную утилиту для создания задач в другую папку под именем "Background.exe" и регистрирует новое задание в планировщике Windows. Задание под названием "Updates" запускает файл "RemoteLibUpdater.exe" (BURNYBEAR) каждые три минуты с определёнными параметрами. При этом названия вложенных папок генерируются случайным образом, что затрудняет выявление аномалии.

BURNYBEAR предназначен для загрузки и выполнения DLL-библиотеки "InitTest.dll", которая является обновлённой версией ранее известного загрузчика MATCHBOIL (теперь маркируется как MATCHBOIL.V2). Интересная особенность: если запустить BURNYBEAR без аргументов (что может случайно произойти при неаккуратном администрировании), он вместо полезной нагрузки начинает бесконечно потреблять системные ресурсы - оперативную память и процессор, фактически организуя атаку типа "отказ в обслуживании" на заражённой машине. Это может служить механизмом заметания следов или простой диверсией.

По данным CERT-UA, новая версия загрузчика MATCHBOIL.V2 теперь использует WinRAR для распаковки скачанных объектов. Если в системе не оказывается самого WinRAR, вредонос скачивает его из облачного хранилища Dropbox. Таким образом злоумышленники гарантируют, что все этапы атаки пройдут без сбоев - утилита сжатия необходима для извлечения следующего слоя полезной нагрузки.

Кампания демонстрирует рост изощрённости UAC-0099: вместо простых одноразовых скриптов применяется многоступенчатая цепочка с использованием легитимного ПО (Notepad++) и его штатного механизма плагинов. Разработчики Notepad++ подтвердили, что загрузка DLL-библиотек в качестве плагинов является архитектурной особенностью редактора, поэтому это не уязвимость самого приложения, а именно злоумышленное использование штатного функционала. Вокруг записи CVE-2025-56383 в базе NIST NVD ведётся дискуссия, однако CERT-UA не ссылается на этот идентификатор как на подтверждённую уязвимость, а упоминает его лишь для упрощения поиска информации.

Для бизнеса и государственных организаций такая атака несёт серьёзные риски: потеря конфиденциальных данных, компрометация инфраструктуры, а в случае с BURNYBEAR - возможный отказ в обслуживании. Важно отметить, что злоумышленники эксплуатируют доверие к распространённым программам: любой сотрудник, использующий Notepad++ для работы с текстовыми файлами, может стать жертвой, если откроет вложение из подозрительного письма.

Ключевые рекомендации по защите включают своевременное обновление критически важного ПО: на момент июля 2026 года актуальными версиями являются WinRAR 7.23, 7-Zip 26.02 и Notepad++ 8.9.7. Регулярное обновление помогает сократить поверхность атаки, хотя в данном случае уязвимость Notepad++ не используется - на первый план выходит защита от фишинга и контроль запуска скриптов. Системным администраторам стоит обратить внимание на мониторинг процессов, запускающих планировщик задач с необычными именами, а также на наличие в системе файлов с двойным расширением и множеством пробелов.

Кластер UAC-0099 продолжает адаптировать свои методы, и новая волна с использованием общедоступных инструментов - ещё одно напоминание о том, что даже безэксплойтные атаки могут быть чрезвычайно эффективными, обходя классические средства защиты.