LxBase RAT атакует российские компании под видом деловых писем из Казахстана

Письма выглядели как обычная деловая переписка. Злоумышленники выдавали себя за сотрудников казахстанских компаний и просили либо проверить заказ по указанному номеру, либо прислать лучшее ценовое предложение по списку товаров. К сообщению прикладывали архив с документом, однако внутри лежал замаскированный загрузчик. Расширение архива подменили на .tar, чтобы получатель принял файл за безобидный набор данных. Тема письма содержала длинный номер заказа либо строку о запросе цены сразу на русском и английском языках. Правдоподобное коммерческое обращение повышало шансы на ответ и снижало подозрительность.

Такой подход давал результат: получатель открывал вложение и запускал скрипт, замаскированный под таблицу с заказом. Проведённый анализ показал, что цепочка заражения состоит из нескольких этапов. Сначала скрипт незаметно копирует себя в служебную папку пользователя и создаёт задание в планировщике Windows. Задание запускает копию при каждом входе в систему, поэтому заражение переживает перезагрузку. Затем в работу включается сценарий на PowerShell - встроенном средстве администрирования Windows. Он скрытно читает зашифрованные файлы, расшифровывает их и загружает основную полезную нагрузку. Финальный шаг - внедрение кода в память легитимной системной утилиты MSBuild, служебной программы для сборки приложений .NET. Вредоносная активность сливается с работой доверенного компонента и почти не выделяется в списке процессов. Программа помечает дату установки в отдельном скрытом файле, чтобы отслеживать срок жизни заражения.

Промежуточные файлы живут недолго. В части атак вместо задания планировщика использовался пакетный файл: он запускал сценарий, после чего удалял расшифрованные данные, временную папку и самого себя. Такая уборка усложняет расследование инцидента. Специалистам по реагированию достаются лишь косвенные следы, а не полный набор артефактов, и восстановить всю цепочку событий удаётся не всегда.

Возможности LxBase RAT заметно шире, чем у простых похитителей паролей. После запуска программа собирает сведения о заражённой машине: страну и город, версию операционной системы, имя учётной записи, наличие прав администратора, время установки и момент последней активности клавиатуры или мыши. Эти сведения уходят на командно-контрольный сервер (C2-сервер), откуда поступают команды. Связь идёт по собственному протоколу, поэтому стандартные средства сетевого мониторинга замечают её не всегда.

Дальше начинается сбор данных. Программа вытаскивает сохранённые пароли, файлы cookie, сведения банковских карт, токены авторизации и ключи шифрования браузеров. В списке целей десятки обозревателей, среди них Chrome, Edge, Firefox, Opera, Brave, Vivaldi и Yandex Browser. Отдельно обрабатываются расширения для криптовалютных кошельков - MetaMask, Trust Wallet, Coinbase Wallet, Phantom и другие. Из почтовых программ интерес вызывают Thunderbird, Outlook и Foxmail, из мессенджеров - Telegram и Discord. Отдельные модули ведут перехват нажатий клавиш, следят за буфером обмена, делают снимки экрана и включают веб-камеру или микрофон. Есть и скрытый удалённый рабочий стол: злоумышленник получает полностью управляемую среду, включая отдельные сессии браузера, и действует в ней как обычный пользователь. Программа умеет запускать и завершать процессы, просматривать сетевые подключения и править автозагрузку. Ещё она выполняет произвольные команды, выключает и перезагружает машину.

Инструмент продаётся по модели "вредоносное ПО как услуга". Подписка обходится в 119 долларов в месяц, 255 долларов за три месяца или 1020 долларов в год и покрывает одно устройство. Вместе с программой покупатель получает упаковщик LX Crypter. Он подменяет метаданные файла, увеличивает его размер и откладывает запуск. Ещё упаковщик распознаёт виртуальные машины и среды анализа, а на выходе выдаёт готовый файл в разных форматах, включая исполняемые и образы дисков. Обе разработки рекламируются на подпольном форуме как минимум с апреля 2026 года. У автора есть канал на YouTube, где с марта 2026 года показывают, как обойти антивирусы российских и зарубежных производителей.

Модель аренды вредоносного ПО давно стала привычной на подпольном рынке. Готовые инструменты продают вместе с обновлениями и поддержкой, и это снижает требования к квалификации покупателя. Платить за подписку проще, чем разрабатывать собственную программу удалённого доступа с нуля.

Для российских организаций опасность усиливает низкий порог входа. Готовая программа удалённого доступа вместе с упаковщиком стоят меньше, чем месячная зарплата одного сотрудника, а настройка не требует глубоких знаний. Последствия могут быть разными: утечка переписки и коммерческой тайны, кража средств с криптовалютных счетов, простой производственных систем, потеря контроля над инфраструктурой. Финансовый сектор и промышленность рискуют сильнее прочих. Цена ошибки здесь измеряется не только деньгами, но и остановкой процессов. Массовость рассылок говорит о том, что злоумышленники не выбирают конкретную жертву, а рассчитывают на статистику.

Базовые меры защиты остаются прежними. Сотрудникам полезно настороженно относиться к вложениям от незнакомых контрагентов, особенно когда внутри архив, замаскированный под документ. Организациям имеет смысл ограничить запуск сценариев и встроенных средств администрирования на рядовых рабочих местах, регулярно обновлять системы и использовать двухфакторную аутентификацию. Отдельного контроля требуют задания планировщика и новые записи в автозагрузке - именно там закрепляется LxBase RAT. Быстрое обнаружение таких следов сокращает время, которое злоумышленник проводит внутри сети.