Компания Palo Alto Networks обнаружила в дикой среде новую версию вредоносного ПО Neptune RAT, также известного как MasonRAT. По данным исследователей, версия 5.3 начала активно использоваться злоумышленниками уже с 27 мая 2025 года. Троян распространяется через JavaScript-файлы (.js), которые активируются при двойном клике и запускаются через wscript.exe.
Описание
После запуска JS-файл создает на диске BAT-скрипт, а последующие этапы заражения происходят исключительно в оперативной памяти, что усложняет обнаружение. Для обеспечения устойчивости вредонос копирует BAT-файл в автозагрузку Windows по пути C:\Users\[username]\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\.
Анализ показал, что JS- и BAT-файлы содержат Base64-кодированные данные, включающие PowerShell-скрипт, который отключает защитные механизмы Windows - AMSI (Anti-Malware Scan Interface) и ETW (Event Tracing for Windows). Кроме того, в файлах обнаружены два зашифрованных .NET-исполняемых модуля и обфусцированный декодер для их восстановления.
Neptune RAT 5.3 обладает широким функционалом, получаемым с командного сервера: сбор системных данных, кражу криптовалютных транзакций (криптоклиппер), снятие скриншотов, мониторинг перемещения мыши, запись нажатий клавиш и загрузку дополнительных DLL-библиотек для расширения возможностей.
Эксперты рекомендуют пользователям соблюдать осторожность при открытии подозрительных файлов и обновлять антивирусные решения для защиты от подобных угроз.
Индикаторы компрометации
