В мире киберугроз финансово мотивированные операции остаются одними из самых распространённых и живучих. Специалисты Elastic Security Labs раскрыли детали кампании, обозначенной как REF1695, которая активна как минимум с конца 2023 года. Оператор использует сложную цепочку заражения, совмещая программы-вымогатели, скрытый майнинг криптовалют и мошенничество с оплатой за действие (CPA). Цель - извлечь максимальную прибыль из каждой скомпрометированной системы, маскируя вредоносную активность под легитимный софт. Анализ публичных данных майнинг-пулов показал, что злоумышленники уже получили выплаты на сумму, эквивалентную почти десяти тысячам долларов США.
Описание
Кампания характеризуется высоким уровнем технической изощрённости и консистентностью. Все наблюдаемые образцы используют одинаковую технику упаковки - комбинацию протекторов Themida/WinLicense и .NET Reactor, что указывает на работу одного оператора или группы. В качестве вектора начального заражения выступают ISO-образы, содержащие поддельные установщики программного обеспечения. Социальная инженерия играет ключевую роль: пользователям демонстрируется файл ReadMe.txt, в котором злоумышленники, выдавая себя за небольшую некоммерческую команду, объясняют отсутствие цифровой подписи у бинарного файла и дают чёткие инструкции по обходу защиты SmartScreen в Windows. После запуска вредоносный загрузчик первым делом скрытно, через PowerShell, добавляет исключения для себя и ключевых системных каталогов в Microsoft Defender, значительно снижая вероятность обнаружения.
Эволюция кампании прослеживается через несколько последовательных волн, каждая из которых вносила новые элементы в арсенал злоумышленников. В самой ранней из задокументированных, относящейся к концу 2023 года, использовался PureRAT - .NET-троянец с функциями удалённого администрирования. Более поздние волны, вплоть до начала 2026 года, демонстрируют расширение функционала. Появился ранее не документированный имплант CNB Bot, также написанный на .NET. Его особенность - строгая аутентификация заданий с помощью RSA-2048 подписей, что делает невозможным выполнение сторонних команд даже при компрометации панели управления злоумышленника. Параллельно распространялись специализированные майнеры, такие как PureMiner и кастомный загрузчик для XMRig - популярного ПО для майнинга Monero.
Монетизация атак носит многоканальный характер. Помимо прямого кража вычислительных ресурсов для майнинга, оператор активно использует схему CPA-мошенничества. После "установки" ничего не подозревающему пользователю показывается фальшивое окно с требованием ввести регистрационный ключ. Ссылка "для получения ключа" ведёт на страницу с контент-локером, где доступ к якобы критически важному файлу блокируется за выполнение платных действий: заполнение опросов, регистрация в сервисах. Каждое такое действие приносит злоумышленнику комиссию. Эксперты Elastic Security Labs в своём отчёте подробно описывают, как одно простое письмо со ссылкой на поддельный ISO приводит к полному контролю над системой.
Особого внимания заслуживает механизм скрытого майнинга. Загрузчик XMRig реализует тактику "пряток", активно противодействуя анализу. Он содержит встроенный список из 35 процессов, связанных с системами безопасности и мониторинга (например, Process Hacker, Wireshark, Process Monitor). Специальный таймер каждую секунду проверяет, не запущены ли подобные инструменты. Если детектируется хотя бы один, майнинг-процесс немедленно принудительно завершается. Как только угроза обнаружения исчезает, майнинг возобновляется. Это создаёт для пользователя иллюзию, что проблемы с производительностью возникают спонтанно и исчезают при попытке их исследовать. Для максимальной эффективности майнер использует драйвер WinRing0x64.sys, получающий прямой доступ к аппаратному обеспечению на уровне ядра (Ring 0) для тонкой настройки процессора.
Инфраструктура кампании также тщательно продумана. Для доставки полезной нагрузки злоумышленники активно используют GitHub в качестве доверенного CDN, размещая бинарные файлы в репозиториях, которые впоследствии удаляются. Это позволяет обходить некоторые сигнатуры систем защиты, основанные на репутации доменов. Центры управления (C2) используют динамические DNS-сервисы, а коммуникация с имплантами защищена AES-шифрованием с ключами, производными от уникальных для каждой кампании паролей с использованием функции PBKDF2.
Финансовый успех операции не вызывает сомнений. Аналитикам удалось извлечь из конфигураций майнеров четыре публичных адреса кошельков Monero. Запросы к открытым дашбордам майнинг-пулов показали, что на эти адреса уже было выплачено в совокупности более 27.88 XMR, что на момент анализа эквивалентно примерно 9392 долларам США. При этом часть заражённых систем остаётся активной: на момент публикации отчёта за четырьмя кошельками числилось 14 активных "работников" - скомпрометированных устройств, продолжающих добывать криптовалюту. Это наглядно демонстрирует, что даже низкоинтенсивные, медленные операции криптоджекинга при должном масштабе могут приносить стабильный и значительный доход.
Исследование также стало площадкой для испытания новых методов анализа. Чтобы справиться с сотнями образцов, защищённых многослойной обфускацией, специалисты Elastic применили агентский конвейер на базе модели искусственного интеллекта Claude Opus. Система была настроена на автоматическую триажку цепочек заражения, распаковку образцов с помощью инструментов вроде Unlicense и .NET Reactor Slayer, а также извлечение конфигураций. В случаях, когда готовые скрипты не срабатывали, ИИ переходил в "режим исследования": анализировал код с помощью дизассемблера dnSpyEx, самостоятельно определял метод извлечения данных и создавал новый скрипт для работы с данным семейством вредоносного ПО. Этот подход позволил значительно ускорить обработку данных и продемонстрировал потенциал автономных AI-агентов для рутинных задач обратной инженерии.
Угроза, воплощённая в кампании REF1695, является типичным представителем современного ландшафта киберпреступности, где техническая сложность сочетается с психологическим манипулированием. Атака нацелена не на взлом сложных периметров, а на эксплуатацию доверия конечного пользователя. Успех операции обусловлен не столько нулевыми днями, сколько последовательным применением базовых, но эффективных техник: социальной инженерии, отключения защитных механизмов, многоэтапности и настойчивого стремления к монетизации каждого аспекта заражения. Для организаций это служит напоминанием о критической важности обучения пользователей, строгого контроля за запуском непроверенного ПО и необходимости многоуровневых систем защиты, способных выявлять аномалии в поведении даже легитимных процессов.
Индикаторы компрометации
