LegionLoader распространяется через поддельную проверку Cloudflare и фишинговые письма

Первый канал распространения - популярная корейская вики-страница, посвящённая проекту "Город надежды для молодожёнов". Злоумышленники разместили там ссылку, выдавая её за официальный сайт проекта. Человек, который ищет информацию о программе, видит знакомое название и переходит по ней. Далее начинается цепочка перенаправлений. Она занимает несколько секунд, и заметить подмену адреса почти невозможно. В итоге пользователь оказывается на странице, оформленной как проверка Cloudflare. Настоящая проверка не требует ничего, кроме нажатия кнопки. Поддельная, напротив, просит открыть системное окно и вставить скопированный текст. После этого на компьютер попадает LegionLoader.

Второй канал - целевой фишинг, то есть письма, подготовленные под конкретную организацию. Сообщения получают сотрудники заранее выбранных компаний. Письмо выглядит как инструкция по выдаче учётной записи во внутренней корпоративной системе. Для достоверности злоумышленники используют настоящий домен компании и узнаваемое оформление. Кроме того, в тексте сказано, что первичный пароль нужно сменить, а учётную запись активировать в определённый срок. Отдельно упоминается блокировка при неверном вводе. Такие детали создают ощущение срочности. По данным ASEC, переход по такой ссылке ведёт к тем же перенаправлениям. Поддельный экран проверки выглядит одинаково в обоих случаях.

Заражение идёт в несколько этапов. Сначала на машине оказывается небольшой фрагмент кода. Он обращается к внешнему серверу и загружает дополнительный сценарий. Затем скачивается архив с программой. После распаковки запускается основной модуль. Промежуточные адреса злоумышленники регулярно меняют. С августа использовалась одна группа доменов, с сентября - другая. Из-за этого блокировка по спискам адресов быстро теряет эффективность. При этом каждый этап по отдельности выглядит безобидно. Смена инфраструктуры указывает на устойчивую группу за атакой, а не на разовую акцию.

Перед запуском основной части программа проверяет, где именно она оказалась. Сначала расшифровывается встроенный код, исполняемый в памяти. Затем анализируется окружение. Программа запрашивает название видеокарты и сравнивает его с известным списком. Если обнаружены решения для виртуальных машин или удалённого доступа, работа прекращается. Дополнительно проверяется, принадлежит ли внешний адрес устройства хостинг-провайдеру. Такой адрес часто указывает на исследовательскую лабораторию, а не на домашний компьютер. Подобная логика мешает анализу в изолированной среде. Только после успешных проверок запускается финальная программа удалённого доступа.

Эта программа регистрирует заражённый компьютер на командно-контрольном сервере и ждёт команд. Управление идёт через обычные веб-запросы. Поэтому трафик почти не отличается от пользовательского. По указанию сервера программа запускает дополнительные полезные нагрузки. Среди них - исполняемые файлы, сценарии PowerShell (встроенное средство автоматизации задач в Windows), установочные пакеты и код, исполняемый в памяти. Для маскировки применяются внедрение в чужой процесс и подмена процесса системного компонента. Ещё одна функция - сбор данных браузера Chrome. Речь идёт о ключах шифрования профиля и истории посещений. Программа также закрепляется в системе через механизм автозапуска. Это позволяет ей выживать после перезагрузки. Набор команд сервер может менять в любой момент.

Показательно, что те же команды пользователи находили и публиковали на технических форумах. Люди не понимали, что именно запустили, и просили помочь разобраться. По скриншотам из таких обсуждений удалось восстановить внешний вид поддельной страницы. Первые случаи относятся к августу, а к сентябрю инфраструктура сменилась. Значит, число пострадавших не ограничивается одной страной или одной отраслью. Метод работает везде, где человек доверяет привычной картинке на экране.

Защита здесь зависит от внимательности человека. Сайт, который просит открыть системное окно ради проверки на робота или исправления ошибки, ведёт себя подозрительно. Настоящая проверка Cloudflare никогда не требует запуска команд. Копировать и выполнять текст со страниц нельзя, даже если он выглядит как официальная инструкция. Письма о выдаче учётных записей стоит проверять через службу поддержки компании или у руководителя. Организациям полезно ограничивать запуск сценариев на рабочих местах. Также важно следить за актуальностью антивирусных баз.

Основной расчёт злоумышленников строится на доверии к знакомым элементам интерфейса. Поддельный экран проверки выглядит привычно, а инструкция - убедительно. Смещение от кражи паролей к прямому запуску кода на компьютере жертвы делает защиту сложнее. Технические средства фиксируют действие самого пользователя и не считают его опасным. Поэтому разъяснительная работа с сотрудниками и запрет на выполнение команд из внешних источников остаются рабочим минимумом. Дополнительно стоит проверять, какие сценарии разрешено запускать на рабочих машинах.