С января 2026 года фиксируется цепочка атак, начальной точкой которой становится вишинг через Microsoft Teams. Злоумышленники выдают себя за сотрудников техподдержки и убеждают жертву запустить сеанс удалённой помощи Quick Assist, после чего на компьютер устанавливается вредоносное ПО, открывающее доступ к сети организации. Вредоносная программа, написанная на Go, названа GoGRPC - она служит основным инструментом для закрепления в системе и выполнения команд.
Описание
Атакующий, предположительно связанный с группами, занимающимися первоначальным доступом для последующих атак с использованием программ-вымогателей, демонстрирует быстрое развитие своих инструментов. По данным Zscaler ThreatLabz, с начала года выявлено четыре варианта GoGRPC - Lep, Giver, Pet и Kind. Каждый следующий вариант отличается от предыдущего: разработчики добавляют или убирают функции, совершенствуют методы скрытности и усложняют анализ. Например, в первых вариантах использовалось шифрование без TLS, а в последних (Pet и Kind) добавлена поддержка TLS, что усложняет перехват трафика.
Процесс заражения начинается с того, что после успешного вишинга злоумышленник запускает на компьютере жертвы PowerShell-команду. Эта команда загружает исполняемый файл GoGRPC из внешнего источника, сохраняет его в папку профиля пользователя и добавляет в автозагрузку через реестр Windows. После запуска вредоносная программа собирает информацию о системе: версию Windows, имя компьютера, имя пользователя, сведения об антивирусе. Затем она связывается с командным сервером и ожидает инструкций.
Связь с сервером происходит по протоколу gRPC, который обычно используется для внутренней коммуникации между компонентами легитимных приложений. Это делает трафик менее заметным на фоне обычных HTTP/2-соединений. В последних вариантах (Pet и Kind) разработчики переименовали конечную точку подключения, а в Kind дополнительно запутали описание протокола. Вредоносная программа поддерживает два типа команд: выполнение произвольных команд оболочки и установку прокси-соединения (последнее заявлено, но в Lep и Giver не реализовано).
Помимо GoGRPC, атакующий использует и другие инструменты. Среди них - бэкдор BlindDoor, который просто уведомляет сервер о готовности, выполняет присланные команды и отвечает подтверждением, не передавая вывод. Другой инструмент, S3Siphon, сканирует стандартные папки пользователя (Рабочий стол, Документы, OneDrive, Загрузки и т.д.) и выгружает найденные файлы в облачное хранилище AWS S3. Фильтруются файлы больше 100 мегабайт и определённые расширения (временные, исполняемые, системные). Собранные данные, вероятно, используются для последующего вымогательства.
Начиная с июня 2026 года, в кампаниях замечены новые инструменты: RevSocket, PyGRPC и RSOX. RevSocket - это прокси на Go, который через зашифрованное WebSocket-соединение позволяет злоумышленнику туннелировать любой TCP-трафик через скомпрометированный компьютер. PyGRPC - аналогичное решение на Python, защищённое обфускатором Pyarmor, использующее gRPC с TLS и дополнительное шифрование AES. RSOX написан на Rust и работает как ретранслятор SOCKS-прокси: после рукопожатия он получает команду на активацию прокси, затем может открывать туннели к заданным адресам, передавать данные и закрывать соединения. Этот инструмент также поддерживает аутентификацию через токен и может переключать сервер через переменную окружения.
Особенность последних атак - более избирательный подход. Перед установкой дополнительного вредоносного ПО атакующий использует сложные PowerShell-скрипты, которые проверяют, является ли среда корпоративной: выявляют наличие антивирусов и средств обнаружения на конечных точках, выполняют разведку контроллеров домена и Active Directory, собирают данные и, при необходимости, загружают второй этап через MSI-файлы. Это указывает на то, что злоумышленник нацелен на организации, которые могут заплатить выкуп.
В течение полугода инструментарий атакующего заметно усложнился: от простого бэкдора с незашифрованным каналом до многофункциональных прокси с шифрованием, аутентификацией и поддержкой нескольких протоколов. Схема атаки остаётся неизменной - социальная инженерия через Microsoft Teams и Quick Assist, но последующие действия становятся всё более целенаправленными. Компаниям следует усилить осведомлённость сотрудников о подобных схемах спам-атак и вишинга, а также контролировать использование инструментов удалённой помощи. При обнаружении подозрительных PowerShell-команд, необычных записей в автозагрузке или исходящих соединений на нестандартные порты требуется немедленная реакция.
Индикаторы компрометации
