Эксперты группы анализа угроз SEQRITE APT-Team обнаружили целенаправленную кампанию против российских организаций. Злоумышленники атакуют отделы кадров, расчёта заработной платы и внутреннего администрирования, используя реалистичные документы-приманки о годовых премиях и финансовой политике. Целью кампании является внедрение вредоносного ПО через многоступенчатую цепочку заражения, завершающуюся загрузкой бекдора Adaptix C2.
Описание
Кампания, получившая внутреннее обозначение UNG0902, отслеживается с ноября 2025 года. Её географический фокус сосредоточен исключительно на Российской Федерации. Основными целями являются сотрудники корпоративного сектора, особенно в сферах управления персоналом и финансов.
Исследователи обнаружили на VirusTotal вредоносный ZIP-архив с названием «Премия 2025.zip». Внутри архива находился файл с двойным расширением «Документ_1_О_размере_годовой_премии.pdf.lnk», маскирующийся под PDF-документ. Этот ярлык (LNK-файл) выступает в роли начального загрузчика. При его открытии запускается скрытая команда PowerShell, которая загружает с удалённого сервера исполняемый файл, получивший название DUPERUNNER.
Документ-приманка, также входящий в архив, тщательно оформлен. Он озаглавлен «О размере годовой премии» и стилизован под внутренний регламент компании. В тексте описывается процедура расчёта премии в размере 15% от оклада, привязка к ключевым показателям эффективности (KPI) и корпоративным стандартам. Подобное содержание повышает доверие жертвы и мотивирует её открыть вредоносное вложение.
Технический анализ выявил трёхэтапную цепочку атаки. На первом этапе LNK-файл с помощью утилиты PowerShell (LOLBIN) незаметно загружает имплант DUPERUNNER. Этот имплант, написанный на C++, обладает несколькими функциями. Интересно, что одна из них загружает и открывает на компьютере жертвы тот самый PDF-документ-приманку, что уже содержится в архиве. Эта избыточность может быть как ошибкой злоумышленников, так и намеренным действием для отвлечения внимания.
Далее DUPERUNNER ищет подходящий процесс для внедрения, такой как explorer.exe или msedge.exe, используя стандартные API Windows. После этого он загружает финальную полезную нагрузку (payload) - бекдор AdaptixC2 Beacon, скрытый в файле, маскирующемся под веб-шрифт (fontawesome.woff). Финальным шагом является классическая инъекция удалённого потока (Remote-Thread Injection), когда код бекдора выполняется в памяти легитимного процесса.
Анализ бекдора AdaptixC2, который является открытым проектом, позволил извлечь его конфигурацию. Были обнаружены уникальный идентификатор маячка (Beacon-ID), пользовательский агент (User-Agent) и адрес командного сервера (C2). Бекдор связывался с инфраструктурой злоумышленников по протоколу HTTP методом POST.
Инфраструктура кампании включает как минимум два IP-адреса. Один использовался для первоначальной загрузки импланта, а второй выступал в роли командного центра. Оба сервера работали под управлением веб-сервера Apache. Хостинг связан с российскими интернет-провайдерами, чьи автономные системы (ASN) зарегистрированы как VDSINA-AS (AS 48282) и TIMEWEB-AS (AS 9123).
Использование тематики внутренних финансовых документов, многоступенчатая цепочка с применением легитимных системных утилит (LOLBIN) и попытка скрыть конечный вредоносный код указывают на достаточно высокий уровень подготовки угрозы. Хотя на данный момент атрибуция кампании к какой-либо группе или государственному спонсору не представлена, её целевой характер и методы говорят о целенаправленных действиях. Эксперты SEQRITE продолжают мониторинг данной активности.
Индикаторы компрометации
