В апреле 2025 года эксперты Cisco Talos выявили масштабную операцию Malware-as-a-Service (MaaS), в рамках которой злоумышленники использовали троян Amadey для доставки вредоносных нагрузок. Операция отличалась сложной инфраструктурой и тактиками, включая использование поддельных аккаунтов на GitHub для размещения вредоносных файлов, плагинов Amadey и инструментов. Это позволяло злоумышленникам обходить веб-фильтрацию и упрощало эксплуатацию жертв. Примечательно, что часть тактик, методов и процедур (TTP) совпадала с фишинговой кампанией SmokeLoader, выявленной ранее в 2025 году и направленной против украинских организаций.
Описание
Фишинговая атака, зафиксированная в феврале 2025 года, включала письма с тематикой счетов и оплаты, содержавшие архивные вложения (ZIP, 7Zip или RAR). Внутри архивов находились JavaScript-файлы с многослойной обфускацией, скрывавшей PowerShell-загрузчик. В результате исполнения этих скриптов на систему жертвы загружался и запускался SmokeLoader. Анализ показал, что JavaScript-загрузчики принадлежали семейству Emmenhtal, ранее описанному Orange Cyberdefense.
При дальнейшем изучении Emmenhtal эксперты Talos обнаружили образцы, которые не были связаны с фишинговой кампанией, но использовали схожие методы. Эти файлы распространялись не через email, а через публичные репозитории GitHub и загружали не SmokeLoader, а Amadey. Последний, в свою очередь, скачивал дополнительные вредоносные модули с GitHub. Это указывало на MaaS-операцию, в рамках которой злоумышленники продавали доступ к вредоносным инструментам через открытые репозитории.
Исследователи выявили три GitHub-аккаунта, использовавшихся для хранения вредоносных файлов: Legendary99999, DFfe9ewf и Milidmdds. Такая тактика позволяет обходить корпоративные фильтры, так как GitHub часто остается доступным для разработчиков. Например, аккаунт Legendary99999 содержал более 160 репозиториев со случайными именами, каждый из которых хранил вредоносные файлы в разделе Releases. Это позволяло злоумышленникам легко загружать их через URL вида:
| 1 | https://github.com/[account_name]/[repository_name]/releases/download/[release_name]/[file_name] |
Среди вредоносных семейств, обнаруженных в этих репозиториях, были Rhadamanthys, Lumma, Redline и другие. Аккаунт DFfe9ewf, вероятно, использовался для тестирования: в нем находились инструменты вроде DInvoke и Selenium WebDriver, которые могут применяться в злонамеренных целях.
Анализ показал, что JavaScript-файлы, размещенные в репозиториях Milidmdds, практически идентичны Emmenhtal-скриптам из фишинговой кампании SmokeLoader. Они также использовали многослойную обфускацию и в финале загружали вредоносные файлы, включая Amadey, AsyncRAT и даже легитимный PuTTY.exe. Это подтверждает гибкость MaaS-операции, позволяющей клиентам выбирать нужные инструменты.
Кроме того, был обнаружен уникальный Python-скрипт checkbalance.py, маскирующийся под инструмент для проверки криптовалютных счетов. После запуска он загружал Amadey и подключался к C2-серверу. Интересно, что при ошибке скрипт выводил сообщение на русском языке с грамматической ошибкой: «Аккаунт кончились», что может указывать на происхождение авторов.
GitHub оперативно заблокировал выявленные аккаунты, однако подобные угрозы требуют постоянной бдительности. Учитывая связь с атаками на украинские организации, важно учитывать геополитический контекст и адаптировать защитные меры соответствующим образом.
Индикаторы компрометации
