С конца марта 2026 года специалисты по информационной безопасности фиксируют серию масштабных атак, в которых злоумышленники комбинируют бесфайловые методы с загрузчиками на языках Lua и AutoIt. Эти инструменты отличаются крайне низким уровнем обнаружения антивирусными средствами. Цель кампании - внедрение целого спектра вредоносного ПО, включая Agent Tesla, Remcos, XWorm и Best Private LOGGER. Последний, как выяснилось, является модифицированной версией известного стилера Snake Keylogger.
Описание
Атака начинается с фишингового письма, в котором атакующие выдают себя за представителей известных компаний. Используются темы делового сотрудничества, срочных платежей или других официальных поводов. В письме содержится либо вредоносный архив, либо ссылка на его загрузку. Внутри архива находится JScript-файл с высоким уровнем обфускации. Разработчики использовали такие приёмы, как маппинг строковых массивов, выравнивание потока управления и механизмы защиты от модификации, чтобы затруднить как ручной, так и автоматизированный анализ.
Сценарий проверяет два условия: отсутствие файлов следующей стадии и значение переменной, равное "YESSSSSSSS". Если оба условия выполняются, скрипт копирует себя в папку %PUBLIC%\Libraries и создаёт задачу в планировщике для закрепления в системе. Затем он извлекает закодированные данные из своего тела, обрабатывает их через реверс строк, удаление мусорных разделителей и декодирование из Base64. Полученные файлы могут включать исполняемый модуль интерпретатора AutoIt или LuaJIT, а также скрипты и закодированные данные.
Согласно анализу исследователей, кампания продолжает развиваться. Наиболее ранние образцы загрузчика датируются октябрём 2025 года, самые свежие - июнем 2026-го. За это время функциональность значительно усложнилась.
Ключевой элемент атаки - файл с расширением .ttf, который на самом деле является скриптом на Lua. Исполняемый файл, запускающий этот скрипт, - это скомпилированная версия LuaJIT. Скрипт содержит зашифрованный блок данных и множество строк, закодированных десятичными числами. Для расшифровки используется трёхэтапный процесс: реверс строки, замена символов по правилам, декодирование из Base64, а затем применение пользовательского шифра ROT. Ключом для ROT выступает первый байт расшифрованной строки. Далее загрузчик применяет различные методы противодействия анализу: выделяет ложные области памяти, маскирует сигнатуры шелл-кода Donut, использует алгоритмы XOR-шифрования прямо в памяти.
В финальной стадии шелл-код выполняется через защищённый вызов (pcall) по адресу памяти, приведённому к указателю на C-функцию. Использование генератора Donut позволяет доставлять полезную нагрузку в бесфайловом виде - без записи на диск. После выполнения шелл-кода рефлексивный загрузчик отображает и запускает непосредственно в памяти конечный вредоносный модуль.
Кампания не ограничивается только Lua-загрузчиками. В параллельной ветке атак используется AutoIt. Здесь скрипт AutoIt также сильно обфусцирован, после деобфускации он запускает легитимный процесс colorcpl.exe в приостановленном состоянии, расшифровывает локальный файл данных с помощью XOR и выполняет инжекцию кода через низкоуровневые функции ntdll.dll. Такой подход полностью аналогичен ранним образцам Lua-загрузчика.
Конечная полезная нагрузка включает Remote Access Trojans (трояны удалённого доступа) Remcos и XWorm, а также стилеры Agent Tesla и Best Private LOGGER. Особый интерес представляет Best Private LOGGER. Сравнительный анализ с конструктором Snake VIP Keylogger показал, что модули сбора данных практически идентичны. Различия сводятся лишь к замене подписи с "Snake" на "Best Private LOGGER" и незначительным изменениям формата вывода. При этом функциональные возможности Best Private LOGGER уступают оригинальному Snake VIP Keylogger - в нём отсутствуют анти-анализ и сбор данных из Wi-Fi. Тем не менее, структура кода не оставляет сомнений: Best Private LOGGER - это вариант стилера Snake.
Атаки затронули множество организаций по всему миру. Компрометация даёт злоумышленникам полный удалённый административный контроль над системой и возможность эксфильтрации больших объёмов конфиденциальной информации. Эволюция загрузчиков показывает, что авторы угрозы регулярно обновляют свои инструменты, чтобы обходить средства защиты и усложнять расследование инцидентов. Организациям стоит усилить фильтрацию входящих писем, внедрить поведенческий анализ на конечных точках и проводить регулярное обучение сотрудников распознаванию фишинговых атак.
Индикаторы компрометации
