В 2025 году киберпреступники развернули две взаимосвязанные кампании по распространению модификаций трояна Gh0st RAT (Remote Access Trojan - троян удаленного доступа), нацеленные на китайскоязычных пользователей по всему миру. Атаки демонстрируют последовательную эволюцию тактик - от простых дропперов до многоступенчатых цепочек заражения с использованием легитимного подписанного ПО для обхода современных систем защиты.
Описание
Первая волна атак, получившая название Campaign Trio, была активна в феврале-марте 2025 года. Злоумышленники зарегистрировали более 2000 доменов, имитирующих официальные страницы загрузки трех популярных приложений: инструмента для управления файлами i4tools, словаря Youdao и платформы искусственного интеллекта DeepSeek. Инфраструктура кампании отличалась централизацией - все домены управлялись всего с трех IP-адресов, что указывало на тактику «одноразовой» инфраструктуры.
Вредоносная нагрузка доставлялась через архивы ZIP, содержащие поддельные установщики MSI. Ключевым элементом стало использование кастомных действий в MSI-файлах для запуска второстепенного исполняемого файла, что позволяло обходить статический анализ. Финальным полезным грузом выступал Gh0st RAT, предоставляющий злоумышленникам полный контроль над системой: перехват нажатий клавиш, удаленный доступ к командной строке и возможность загрузки дополнительного вредоносного ПО.
Вторая кампания, Campaign Chorus, стартовала в мае 2025 года и показала значительное усложнение тактик. Количество имитируемых брендов превысило 40, включая корпоративные мессенджеры, игровые платформы и инструменты для обхода интернет-ограничений. Особенностью стало использование волновых атак с разными доменными префиксами и серверами перенаправления.
Главным нововведением стала многоступенчатая цепочка заражения, ориентированная на обход систем EDR (Endpoint Detection and Response - обнаружение и реагирование на конечных точках). Злоумышленники начали размещать вредоносные ZIP-архивы в публичных облачных хранилищах, используя их репутацию для обхода сетевых фильтров. Внедренный в MSI-файлы VBScript выступал в роли сборщика и дешифратора следующей стадии вредоносного кода.
Финальная стадия заражения использовала технику DLL side-loading (подмена библиотек). Легитимный подписанный файл wsc_proxy.exe загружал malicious DLL (вредоносную динамическую библиотеку) wsc.dll, что позволяло запускать вредоносный код под видом доверенного процесса. Этот метод эффективно обходит системы контроля приложений и мониторинга процессов.
Анализ инфраструктуры выявил единый операционный план обеих кампаний. Во-первых, сохранялась фокусировка на китайскоязычной аудитории через подделку релевантного ПО. Во-вторых, наблюдалась стратегия «массового развертывания» с програмной генерацией тысяч доменов. В-третьих, демонстрировалась тактика «жги и меняй» с быстрым развертыванием новой инфраструктуры.
Исследование пассивных DNS-данных показало постоянную активность кампаний с февраля по октябрь 2025 года. Пики регистрации доменов происходили еженедельно, что указывает на автоматизированный процесс восполнения инфраструктуры. При этом старые домены продолжали разрешаться на исходные IP-адреса, демонстрируя параллельную эксплуатацию различных инструментов.
Эксперты отмечают, что эволюция от простых дропперов до сложных цепочек с DLL side-loading представляет серьезный вызов для защитных систем. Рекомендуется усилить мониторинг кастомных действий в MSI-файлах и обращать особое внимание на загрузку DLL из непроверенных источников, даже если родительский процесс имеет цифровую подпись.
Индикаторы компрометации
