Японская интернет-компания IIJ в октябре 2025 года обнаружила ранее неизвестную Windows-версию вредоносной программы SNOWLIGHT, используемой китайской хакерской группой UNC5174. Эта группировка связывается с Министерством государственной безопасности КНР и известна целевыми атаками на организации по всему миру, включая США, Канаду и страны Юго-Восточной Азии. Ранее SNOWLIGHT почти исключительно существовал в Linux-версии, что делает новую находку особенно значимой для сообщества кибербезопасности.
Описание
Критически важно, что анализируемые файлы были загружены в VirusTotal из Японии 30 октября 2025 года. Следовательно, существует высокая вероятность, что данная вредоносная программа использовалась в атаках UNC5174 против японских организаций. Это подтверждает растущую географическую экспансию группы и её интерес к японскому целевому пространству.
Windows-версия SNOWLIGHT функционально очень близка к своему Linux-аналогу и действует как загрузчик (downloader). Её исполнение начинается с запуска оболочки-кода (shellcode loader) msedgeupdate.dll. Этот модуль сначала создает мьютекс Global\MicrosoftEdgeUpdate для предотвращения множественного запуска. Затем он читает файл desktop.ini из той же папки и декодирует его содержимое с помощью XOR-операции с ключом 0x66825777, чтобы извлечь основной shellcode - саму программу SNOWLIGHT.
После извлечения shellcode размещается в исполняемой области памяти и запускается как оконная процедура для вновь созданного окна с именем MainWindow. Этот метод позволяет скрыть выполнение вредоносного кода под видом легитимного GUI-процесса. При запуске SNOWLIGHT использует технику API Hashing для динамического разрешения адресов Windows API функций. Имена модулей и API хэшируются с помощью алгоритма на основе ROR13, что затрудняет статический анализ.
Затем малвар проверяет наличие файла log_de.log в системной временной папке, получаемой через вызов GetTempPathA. Если файл существует, выполнение прекращается. Интересно, что аналогичная проверка на существование /tmp/log_de.log присутствует и в Linux-версии. Это может быть механизмом избегания повторного заражения или анализа.
Если файл log_de.log отсутствует, SNOWLIGHT отправляет HTTP GET-запрос на сервер управления. Запрос имеет специфический формат, включая параметры, указывающие на архитектуру (w32), хост C2 и порт. User-Agent в запросе содержит аномальные пробелы, что, как выяснилось позже, вероятно, является ошибкой разработчика. В ответ сервер присылает полезную нагрузку (payload), которая XOR-декодируется с ключом 0x99 и затем исполняется.
В данном случае загружаемой полезной нагрузкой оказался VShell - троянец удаленного доступа (RAT), написанный на Go. VShell использует WebSocket для связи с C2-сервером и предоставляет злоумышленнику возможности удаленной командной оболочки, управления файлами и другие функции. Ранее UNC5174 уже использовала связку SNOWLIGHT и VShell для Linux-систем. Появление Windows-версии демонстрирует адаптацию тактик группы под разные операционные среды.
Расследование выявило сеть связанных доменов и образцов. C2-хост w1.topayapp[.]org, указанный в образце, резолвится на IP-адрес 84.32.34[.]42. С этим же IP связаны другие подозрительные файлы в VirusTotal. Среди них - загрузчик shellcode, написанный на Go, который исполняет 64-битную Windows-версию другой вредоносной программы, известной как SNOWSHELL. Этот загрузчик использует AES-GCM для шифрования shellcode и злоупотребляет API-функцией EnumWindows для его выполнения. SNOWSHELL, в свою очередь, также загружает и запускает VShell.
C2-коммуникация Go-загрузчика схожа с SNOWLIGHT, но использует другой домен - w1.submit-data[.]com, который также указывает на 84.32.34[.]42. Кроме того, был обнаружен Linux x64-версия SNOWSHELL в формате исполняемого файла ELF. Ключевое отличие заключается в User-Agent: в Linux-версии он корректен, без лишних пробелов. Это подтверждает, что аномальный User-Agent в Windows-версиях был ошибкой разработки, а не преднамеренной тактикой. Домен для этой версии, l1.submit-data[.]com, также связан с тем же IP-адресом.
Обнаружение Windows-версии SNOWLIGHT подчеркивает эволюцию и адаптационные способности группы UNC5174. Расширение арсенала на платформу Microsoft Windows значительно увеличивает её потенциальный охват. Использование сложных техник, таких как API Hashing, запуск кода через оконные процедуры и многоэтапная загрузка, демонстрирует высокий уровень профессионализма. Связь всех компонентов с одним IP-адресом указывает на скоординированную инфраструктуру.
Для специалистов по безопасности крайне важно учитывать, что группа активно таргетирует японские организации. Рекомендуется тщательно мониторить сетевую активность, связанную с указанными доменами и IP-адресами, а также искать артефакты в файловых системах, такие как msedgeupdate.dll, desktop.ini с зашифрованным содержимым и файл log_de.log во временных директориях. Понимание полной цепочки атаки - от первоначального загрузчика до конечного RAT - является ключевым для эффективного обнаружения и реагирования на угрозы подобного класса.
Индикаторы компрометации
