Несколько организаций в Германии столкнулись с ранее неизвестным вредоносным загрузчиком Sauron Loader. Он становится финальным этапом атаки и доставляет на заражённые машины дополнительное вредоносное ПО. Первыми под удар попали сотрудники, которые получали письма и звонки от людей, выдававших себя за службу технической поддержки.
Описание
В каждом разобранном случае атака начиналась с социальной инженерии. Злоумышленники применяли два подхода. Первый - так называемый ClickFix, когда жертву убеждают выполнить несложное действие, например вставить заранее подготовленную команду в системное окно. Второй - голосовой фишинг (vishing): человека сначала заваливают потоком спама, а затем звонят и предлагают помощь в решении проблемы. Иногда жертву просят запустить сеанс удалённого доступа через Microsoft Quick Assist. Похожие приёмы использовали группировки Scattered Spider и подозреваемые участники Black Basta.
Загрузчик распространяют по модели "вредоносное ПО как услуга" (MaaS, когда разработчик сдаёт программу в аренду другим преступникам). Продажа ведётся в русскоязычной теневой среде. Разработчик под псевдонимом S4ur0n выставил продукт на подпольном форуме. Покупателями могут быть только русскоязычные клиенты. Использовать загрузчик против государственных организаций и стран постсоветского пространства условиями сделки запрещено.
По данным DCSO, функциональность и настройки выставленного на продажу загрузчика совпали с тем, что аналитики увидели в реальных инцидентах. Один образец распространялся внутри установочного пакета MSI. После запуска пакет распаковывал в систему три компонента. Первый - доверенная утилита из состава открытого криптографического набора, её используют как приманку. Второй - вредоносная библиотека с основным кодом загрузчика в зашифрованном виде. Третий - модуль расшифровки и закрепления. Запуск начинается с безобидной на вид программы, та подгружает подменённую библиотеку, а дальше управление переходит к скрытому коду. Перед расшифровкой программа намеренно выдерживает паузу. Такой приём усложняет работу антивирусов и автоматических песочниц (изолированных сред для безопасного запуска подозрительных файлов). Закрепление обеспечивает задача в системном планировщике: она периодически запускает загрузчик заново.
Главная задача Sauron Loader - получить с сервера злоумышленников дополнительную полезную нагрузку и выполнить её. Кроме того, программа собирает сведения о заражённой системе и отправляет их на командно-контрольный сервер (C2-сервер). Список поддерживаемых форматов широк: исполняемые файлы; библиотеки; драйверы; шелл-код, исполняемый прямо в памяти; установочные пакеты; архивы; командные сценарии; сценарии PowerShell; файлы VBS и JavaScript. Конкретный способ запуска выбирает оператор. Загрузить нагрузку можно двумя путями: по прямой ссылке или по внутреннему идентификатору на управляющем сервере. Перед запуском файл сохраняется во временную папку под случайным именем.
Перед первым обращением программа формирует уникальный идентификатор заражённой машины. Его собирают из имени компьютера, имени пользователя и серийного номера диска, поэтому повторная регистрация одной и той же системы даёт тот же номер. Вместе с ним на сервер уходят домен, версия операционной системы, уровень прав и список установленных программ. Все дальнейшие команды приходят только после подтверждения регистрации. Интересная деталь: в настройках одного образца сохранились пометки тестовой сборки, хотя сам инцидент был настоящим.
Обмен данными идёт по защищённому каналу и внешне напоминает обычный веб-трафик. Каждое обращение шифруется и подписывается, а путь запроса формируется случайным образом. Программа маскируется под популярный браузер, поэтому в журналах сетевого оборудования её запросы почти не отличаются от работы сотрудника. Ответ сервера проверяется электронной подписью до расшифровки. Если один сервер не отвечает, программа переключается на резервный адрес. После неудачного обращения она ждёт около 160 секунд, после успешного - 600 секунд.
Отдельная команда позволяет снимать экран. Оператор выбирает, захватить весь рабочий стол или только основной монитор. Снимок сохраняется в графическом формате и уходит на сервер по частям. Каждый блок размером до 16 килобайт передаётся отдельным сообщением. Ещё одна категория заданий пока не расшифрована: программа отвечает отказом и ничего не выполняет. Анализ дополнительных образцов показал, что семейство применяют не в одной кампании: код совпадает, а адреса управляющих серверов отличаются.
В коде есть проверка принадлежности жертвы к СНГ - по раскладке клавиатуры. Второй фильтр отсекает государственные организации. Похожие ограничения встречались в программах-вымогателях LockBit, Qilin, Cl0p и Medusa. Такая избирательность давно сопровождает преступные группы, работающие на постсоветском пространстве: пока цели не затрагивают страны СНГ, их деятельность часто остаётся без внимания. При этом сама по себе проверка не доказывает причастность конкретной группы.
Тактика с почтовой бомбардировкой и звонками от имени техподдержки набирает популярность. В отчёте об угрозах за 2026 год компания eSentire сообщила о росте таких случаев на 1450% год к году. Успешность атак достигает 72%. Раньше этот приём использовали для доставки DarkGate и в кампаниях участников Black Basta. Теперь его берут на вооружение другие группы. Часть кампаний общается с жертвами автоматически, что позволяет атаковать сотни адресатов быстро и с минимальным участием человека.
Защита строится на простых мерах. Сотрудников стоит обучить правилу: не выполнять команды из письма или звонка, даже если звонящий называет себя сотрудником техподдержки. Удалённые средства доступа вроде Quick Assist и AnyDesk лучше ограничить на уровне политик. Двухфакторная аутентификация и регулярные обновления снижают ущерб, если загрузчик всё же попал на машину. Полезно проверять подлинность входящих обращений: настоящая техподдержка не рассылает массовых писем и не просит вставлять команды в системные окна.
Индикаторы компрометации
