Поддельные MSI-установщики, которые выдают себя за популярные программы, доставляют нагрузку, менявшуюся от руткита PurpleFox к собственному каркасу удалённого управления TerminalControlClient. Найденные в реальных условиях образцы связаны общими серверами управления, приёмами загрузки и конечными полезными нагрузками, что указывает на одних и тех же операторов. Разбор продолжает историю GoodPersonRAT - первого известного образца с каркасом TerminalControlClient. Различия между сборками показывают, как менялись приёмы операторов.
Описание
Приманки подбирались с оглядкой на китайский рынок. Chrome запрещён там с марта 2010 года, Telegram - с июля 2015 года, а LetsVPN 28 апреля 2026 года сообщил о прекращении работы: в обращении компании сказано, что неполадку с подключением устранить не удалось, возвраты считаются с 8 апреля, и сервис больше не может работать. Отдельный образец выдаёт себя за установщик NetEase Cloud Music, китайского музыкального стримингового сервиса. Как установила ThreatLocker Threat Intelligence, этот случай устроен иначе: такое ПО в Китае ставится свободно, поэтому расчёт на случайную встречу пользователя с файлом.
Сборка под видом Chrome собрана 11 ноября 2025 года и предлагается как версия 109, вышедшая в феврале 2025 года. Внутри лежит текстовый файл-носитель, который проходит обработку XOR и доставляет библиотеку с руткитом PurpleFox - программой, скрывающей своё присутствие в системе; руткит регистрируется как служба. Он изменяет настройки удалённого рабочего стола, поддерживает работу библиотеки для буфера обмена и обращается к отдельной утилите, совместимой с mimikatz: та извлекает учётные данные, хотя сам mimikatz в файл не встроен. Распознают эту нагрузку по характерным путям отладочных символов и по строкам в драйвере, связанным со скрытием файлов и ветвей реестра.
Следующие образцы, под LetsVPN и NetEase Cloud Music, повторяют Chrome-сборку по смыслу, но расходятся с ней в приёмах. Вместо текстового носителя появляется зашифрованный файл с данными, а загрузчик написан на LuaJIT - среде исполнения языка Lua с компиляцией по ходу работы - и хранится в открытом виде. Утилиту для извлечения учётных данных и работу с настройками удалённого рабочего стола из сборки убрали, при этом PurpleFox на этом этапе ещё используется. Образец под NetEase Cloud Music оказался пересборкой предыдущего: сменилась только приманка, а даты создания встроенных загрузчиков и пути отладочных символов с датами указывают, что сборки разделяет короткий промежуток.
GoodPersonRAT стал первым известным образцом с каркасом TerminalControlClient: встроенные драйверы PurpleFox уступили место собственным возможностям каркаса, а переменная версии клиента внутри него указывает на 27 апреля 2026 года. Две самые свежие сборки, от 1 и 6 июля 2026 года, выдают себя за установщики Telegram и целятся в служебную папку мессенджера, где хранятся данные сеансов. Правка касается запуска от имени системной учётной записи SYSTEM. В этом режиме переменные среды указывают на служебный профиль системы, где браузерных профилей пользователей обычно нет, поэтому образцы перебирают каталоги пользователей и сами собирают пути к их данным. Затем они стирают браузерные данные у нескольких поставщиков, включая QQBrowser, Sogou Explorer и 2345 Explorer: при следующем входе пользователь вводит учётные данные заново, а их перехватывает активный перехват нажатий клавиш.
Две телеграм-сборки различаются двумя записями в таблице серверов управления и временем компиляции. Общая черта всех образцов - неподписанный MSI-файл, в котором легальный установщик соединён с вредоносным загрузчиком и зашифрованным файлом данных. Легальная программа при этом устанавливается, а вредоносный код работает в фоне, и пользователь о компрометации не узнаёт. Во всех образцах фигурирует один и тот же адрес узла управления с геолокацией в Тайбэе (Тайвань); ранее с ним связывали образцы mgh0st и HiddenGhost, применявшие драйвер Hidden авторства JKornev.
Набор возможностей во всех версиях близок: управление файлами, запуск команд через cmd.exe, туннелирование через SOCKS5 и HTTP-прокси, снимки экрана и управление экраном, перехват нажатий клавиш с выгрузкой содержимого буфера обмена, работа с браузерами, поиск средств защиты и закрепление в системе. За пределами разбора остались число пострадавших, география заражений и подтверждение того, что хотя бы одна установка привела к успешному захвату управления. Геолокация узла не указывает на местонахождение операторов, а совпадение приёмов и адреса связывает образцы между собой, но не доказывает единого заказчика. Распознавание по строкам драйвера и по путям отладочных символов может давать ложные срабатывания: те же признаки встречаются в легитимных сборках того же руткита.
Индикаторы компрометации
