Киберпреступники активно используют Cobalt Strike PowerShell-загрузчики на китайской и российской инфраструктуре

В ходе мониторинга киберугроз исследователи Hunt Intelligence обнаружили подозрительный PowerShell-скрипт (y1.ps1), размещённый в открытом доступе на сервере в Китае (IP: 123.207.215.76). Этот скрипт представляет собой загрузчик shellcode, использующий методы выполнения в памяти для уклонения от детектирования. Он динамически разрешает вызовы Windows API, расшифровывает встроенный shellcode и загружает вредоносную полезную нагрузку. Первые признаки активности этого скрипта были зафиксированы 1 июня 2025 года, что побудило экспертов к более детальному анализу используемой инфраструктуры.

Описание

Обнаруженный загрузчик является частью активной пост-эксплуатационной кампании, использующей стелс-техники и инфраструктуру Cobalt Strike - популярного фреймворка для тестирования на проникновение, который часто эксплуатируется злоумышленниками. В данной статье рассматривается механизм работы shellcode, методы его маскировки, а также связь с известными серверами Cobalt Strike.

Технические детали атаки

После расшифровки shellcode инициирует соединение с сервером управления и контроля (C2), размещённым на облачной платформе Baidu Cloud Function Compute (y2n273y10j[.]cfc-execute[.]bj.baidubce[.]com). Для сокрытия своей активности скрипт использует хеширование API-вызовов, поддельные User-Agent строки и технику рефлексивной загрузки DLL прямо в память.

Анализ конфигурации полезной нагрузки выявил взаимодействие с IP-адресом 46.173.27.142, принадлежащим российской компании Beget LLC. SSL-сертификат, используемый для шифрования трафика, содержал данные субъекта "Major Cobalt Strike" и издателя "cobaltstrike", что является типичным признаком инфраструктуры Cobalt Strike.

Хотя основные индикаторы компрометации (IoC) связаны с серверами в Китае и России, исследователи также обнаружили узлы в США, Сингапуре и Гонконге. Это указывает на то, что злоумышленники используют распределённую инфраструктуру для повышения устойчивости своих операций.

Как работает загрузчик?

Скрипт y1.ps1 активируется на 64-битных системах и выполняет следующие действия:

Декодирует Base64-закодированный массив байтов.
Расшифровывает его с помощью XOR с ключом 35.
Выделяет исполняемую память через вызов VirtualAlloc.
Копирует расшифрованный shellcode в память и передаёт управление на его выполнение.

Методы уклонения от обнаружения

Одной из ключевых особенностей данного shellcode является использование API-хеширования. Вместо явного вызова функций Windows (например, LoadLibraryA или InternetOpenA), скрипт вычисляет их хеши и сравнивает с заранее заготовленными значениями. Это затрудняет статический анализ и позволяет обходить сигнатурные методы детектирования.

Кроме того, для подключения к C2-серверу используется HTTPS-трафик с поддельными User-Agent строками, имитирующими легитимные браузеры. Например:
"User-Agent: Mozilla/5.0 (compatible; MSIE 9.0; Windows NT 6.1; WOW64; Trident/5.0; yie9)"

Инфраструктура Cobalt Strike

После загрузки основного модуля shellcode соединяется с сервером Cobalt Strike (46.173.27.142, порт 50050), где развёрнут Beacon - бекдор для удалённого управления системой. SSL-сертификат этого узла содержит характерные метаданные, подтверждающие использование Cobalt Strike.

Анализ глобальной инфраструктуры злоумышленников показал, что подобные серверы разбросаны по всему миру. Поиск по SSL-сертификатам с IssuerOrganization "cobaltstrike" выявил 801 активный IP-адрес, что свидетельствует о масштабной эксплуатации данного фреймворка.

Выводы

Обнаруженная атака демонстрирует, что киберпреступники активно используют Cobalt Strike в сочетании с PowerShell-загрузчиками для скрытного проникновения в системы. Несмотря на простоту методов доставки, их эффективность остаётся высокой благодаря использованию облачных сервисов и техник обхода защиты.

Хотя точная атрибуция авторов данной кампании затруднена, совпадение с известными схемами эксплуатации Cobalt Strike позволяет предположить связь с финансово мотивированными группировками. Организациям рекомендуется усилить мониторинг PowerShell-активности, блокировать подозрительные SSL-сертификаты и регулярно обновлять сигнатуры систем защиты.