Исследователи кибербезопасности из компании CyberProof зафиксировали резкий рост атак с использованием вредоносной программы DarkCloud Stealer против финансовых организаций в августе 2025 года. Атаки осуществляются через фишинговые письма с вредоносными RAR-вложениями, нацеленными на пользователей Windows. Основная цель злоумышленников - кража учетных данных из почтовых и FTP-клиентов, а также данных браузеров.
Описание
Аналитики CyberProof обнаружили, что после запуска вложения активируется сложная цепочка действий, включающая использование скриптов VBE, PowerShell и загрузку вредоносного кода, замаскированного под изображение в формате JPG. DarkCloud Stealer применяет технику внедрения в легитимные процессы, такие как MSBuild.exe, чтобы избежать обнаружения системами защиты. Кроме того, злоумышленники используют методы сохранения присутствия в системе, включая добавление записей в автозагрузку реестра Windows.
Эксперты подтвердили, что DarkCloud Stealer поддерживает передачу похищенной информации по протоколам FTP и SMTP. В ходе атаки были зафиксированы попытки подключения к доменам, сгенерированным по алгоритму DGA (Domain Generation Algorithm), что усложняет блокировку коммуникации злоумышленников с управляющими серверами.
Для противодействия подобным угрозам специалисты рекомендуют усилить контроль за входящей почтой, ограничить выполнение скриптовых файлов, а также использовать системы мониторинга и охоты за угрозами для выявления подозрительной активности на ранних этапах. Осведомленность и готовность к быстро развивающимся методам атак остаются ключевыми элементами защиты критически важной инфраструктуры.
Данные об этой кампании были опубликованы с целью информирования сообщества кибербезопасности и повышения уровня защиты организаций по всему миру. Совместные усилия и обмен актуальной информацией позволяют эффективнее противостоять современным киберугрозам.
Индикаторы компрометации
