Специалисты сервиса Kaspersky Managed Detection and Response раскрыли крупную вредоносную кампанию, в ходе которой злоумышленники использовали легитимный инструмент удалённого администрирования ScreenConnect для доставки троянца удалённого доступа AsyncRAT. Исследование началось с единичного инцидента, зафиксированного системой мониторинга, и привело к обнаружению более 90 поддельных веб-сайтов, локализованных на десяти языках. Атакующие маскировали вредоносные установщики под популярные программы: OBS Studio, DNS Jumper, DS4Windows, Bandicam, Glary Utilities и другие. В результате жертвами стали как обычные пользователи, так и организации, скачавшие "бесплатное ПО" из результатов поисковой выдачи.
Описание
Схема атаки строилась на технике DLL sideloading (загрузка вредоносной библиотеки легитимным исполняемым файлом). Вредоносные архивы содержали подписанный Microsoft файл install.exe и библиотеку install.res.1033.dll. При запуске установщика библиотека загружалась в память и разворачивала скрытый сервис ScreenConnect, который затем ожидал команд от управляющего сервера (C2, command and control - инфраструктура управления злоумышленников). Далее через ScreenConnect выполнялись PowerShell- и VBS-скрипты, отключавшие средства защиты (Windows Defender, контроль учётных записей UAC) и разворачивавшие конечную полезную нагрузку - AsyncRAT.
Цепочка заражения начиналась с сайта-клона, который имитировал официальный ресурс для загрузки OBS Studio (studioobs[.]com). При нажатии кнопки скачивания архив obs-studio-windows-x64.zip загружался с другого домена (fileget.loseyourip[.]com). Внутри архива находились переименованный install.exe и папка Assets, содержащая MSI-пакеты, переименованные в DLL. Один из них устанавливал ScreenConnect в тихом режиме, второй - легитимную версию OBS Studio (для отвлечения внимания). ScreenConnect запускался как служба с типом доступа "Access", что позволяло прямое удалённое подключение к системе.
После установки ScreenConnect генерировал скрипт Fj5NmEsp9EuKrun.ps1, который исключал из проверок Windows Defender все диски, корневые директории и процесс RegAsm.exe, а также отключал UAC. Затем запускался VBS-скрипт installer_method3_stream.vbs, создававший в каталоге C:\Users\Public несколько файлов, включая cap.ps1 и script.vbs. Последний завершал все текущие процессы PowerShell для сокрытия следов и запускал cap.ps1. Этот скрипт читал файл secret_bytes.txt, деобфусцировал данные с помощью XOR-ключа 0xA7 и инвертирования битов, получая PE-образ (исполняемый файл). Полученный образ рефлективно загружался в среду CLR (Common Language Runtime, среда выполнения .NET).
Загруженный модуль использовал технику process hollowing (замена кода легитимного процесса). Он создавал новый процесс RegAsm.exe в приостановленном состоянии, замещал его адресное пространство кодом AsyncRAT и возобновлял выполнение. Таким образом, троянец работал внутри доверенного системного процесса, что усложняло обнаружение. Для закрепления в системе создавалась задача планировщика MasterPackager.Updater, запускавшая script.vbs каждые две минуты. После успешного внедрения RegAsm.exe устанавливал соединение с C2-доменом mora1987[.]work[.]gd.
Согласно отчёту Лаборатории Касперского, кампания началась в октябре 2025 года и продолжалась до конца марта 2026 года. Инфраструктура атакующих включала два кластера серверов. Первый - на IP-адресах 162.216.241[.]242 и 198.23.185[.]81 (США, провайдеры Dynu Systems Incorporated и NOHAVPS LLC). На этих серверах размещались поддельные сайты, клонирующие страницы игр и бесплатного ПО. Второй кластер - 2.59.134[.]97 (Германия, dataforest GmbH), где также хранились вредоносные архивы. Всего зафиксировано более 90 доменов, причём поддельные сайты с бесплатным ПО создавались с октября 2025 года, а более ранние (с августа 2025 года) маскировались под игры.
Анализ C2-доменов ScreenConnect и AsyncRAT выявил множество адресов, используемых для управления заражёнными системами. Некоторые из них были зарегистрированы ещё до начала кампании, что указывает на длительную подготовку злоумышленников. На момент публикации многие сайты-приманки оставались доступными в поисковой выдаче, хотя активность кампании была приостановлена.
Атакующие активно применяли методы поисковой оптимизации (SEO), чтобы поддельные ресурсы оказывались в топе результатов поиска по запросам популярного ПО. Это позволяло привлекать большое число пользователей из разных стран - от англоязычных до русскоязычных и китайскоязычных. Потенциальная цель кампании - массовая кража учётных данных и получение доступа к корпоративным сетям для последующей перепродажи на теневых площадках.
Для снижения рисков эксперты рекомендуют внедрять строгие списки разрешённого ПО, контролировать установку MSI-пакетов из непроверенных источников, отслеживать появление новых служб удалённого администрирования и задач планировщика, а также фильтровать исходящий трафик к незнакомым доменам. Особое внимание уделяется обучению пользователей безопасному скачиванию и проверке подлинности источников. Корпоративным клиентам дополнительно советуют мониторить утечку учётных данных через сервисы отслеживания цифрового следа.
Индикаторы компрометации
