Китайское шпионское ПО на службе у APT-группы: целевая атака на пользователей в Индии

Специалисты подразделения реагирования на угрозы (Threat Response Unit, TRU) компании eSentire выявили в начале декабря 2025 года целенаправленную кампанию, в ходе которой злоумышленники развернули сложную многоступенчатую вредоносную программу для шпионажа. Операция, получившая название SyncFuture Espionage, нацелена на жителей Индии и использует фишинговые письма, маскирующиеся под уведомления Налогового департамента страны.

Описание

Кампания демонстрирует высокий уровень изощренности и признаки деятельности группы продвинутых постоянных угроз (Advanced Persistent Threat, APT), чьей основной целью является долгосрочный сбор разведывательных данных, а не финансовая выгода. Атака начинается с того, что жертвам рассылаются письма, якобы содержащие уведомление о "недостатке налогового соответствия и штрафе". В письмах размещена ссылка для скачивания вредоносного архива.

Для доставки писем злоумышленники используют сервис Sendgrid, а для скрытия конечных ссылок применяют технику сокращения URL-адресов. Это позволяет им обходить базовые системы защиты. Даже несмотря на то что Microsoft Defender для Office 365 блокирует часть таких писем, исследователям удалось получить фишинговую приманку. Она ведет на архив Inspection.zip, содержащий вредоносную нагрузку (payload).

Цепочка заражения построена на технике подмены динамически подключаемых библиотек (DLL side-loading). В качестве легитимного загрузчика используется подписанный Microsoft бинарный файл, который загружает вредоносную библиотеку MpGear.dll. Этот начальный загрузчик оснащен многоуровневыми проверками на наличие отладчика и анализа, что серьезно затрудняет исследование его кода.

После успешного прохождения проверок вредоносное ПО связывается с командным сервером (Command-and-Control, C2) для загрузки упакованного шелл-кода. Вторая стадия атаки разворачивается непосредственно в памяти системы и использует два ключевых метода для повышения привилегий и уклонения от защиты. Во-первых, применяется известный метод обхода контроля учетных записей (User Account Control, UAC) на основе COM-объектов, что позволяет бесшумно получить административные права. Во-вторых, программа маскируется под легитимный процесс explorer.exe, изменяя свой блок параметров среды (Process Environment Block, PEB), что затрудняет ее обнаружение в мониторах процессов.

Особенностью данной вредоносной программы является целенаправленный обход антивируса Avast Free. Распакованная библиотека идентифицирована как вариант семейства Blackmoon. При обнаружении Avast вредоносное ПО использует автоматическую симуляцию движений мыши для навигации по интерфейсу антивируса и добавления своих файлов в список исключений, эффективно создавая для себя "белый список".

Следующий этап атаки развертывает собственный набор инструментов для установки постоянного доступа. Этот набор использует коллекцию пакетных скриптов для ослабления системной безопасности и устанавливает основной компонент как службу Windows, настраивая ее запуск даже в безопасном режиме. Это обеспечивает устойчивую работу бэкдора, позволяя злоумышленникам вести шпионскую деятельность незаметно.

Финальная стадия атаки представляет наибольший интерес. В качестве итоговой нагрузки развертывается коммерческая система управления безопасностью терминалов SyncFuture TSM, разработанная китайской компанией Nanjing Zhongke Huasai Technology Co., Ltd. Хотя эта система позиционируется как легитимный корпоративный инструмент для защиты данных, в данной кампании она была перепрофилирована в мощный шпионский комплекс. Ее развертывание дает злоумышленникам устойчивое скрытое присутствие в системе и богатый набор функций для мониторинга активности жертвы, удаленного управления и централизованного сбора конфиденциальной информации.

Система SyncFuture TSM обладает функциями шифрования данных, детального аудита всех файловых операций, записи посещенных веб-сайтов, перехвата электронной почты и даже непрерывной записи экрана. Анализ исполняемых файлов, сброшенных на зараженную систему, выявил закономерность: многие из них подписаны действительными код-сигнатурными сертификатами, выданными в период с 2019 по 2024 год. Это указывает на возможное злоупотребление легитимными сертификатами или инфраструктурой подписания кода. Также были обнаружены драйверы режима ядра, подписанные компанией NANJING YANGTU INFORMATION TECHNOLOGY CO., LTD., что дополнительно связывает кампанию с китайскими разработчиками.

Кампания SyncFuture Espionage демонстрирует высокую степень профессионализма и адаптивности. Злоумышленники сочетают классические техники, такие как фишинг и подмену библиотек, с продвинутыми методами обхода защиты и, что наиболее важно, с перепрофилированием легального корпоративного программного обеспечения в шпионский инструментарий. Это позволяет им действовать максимально скрытно и эффективно, превращая системы безопасности жертв в инструмент для собственного наблюдения. Основной вектор атаки направлен на Индию, что указывает на ее геополитическую значимость для организаторов кампании.