В феврале 2025 года исследователи TRAC Labs обнаружили новый PowerShell-бэкдор под названием GhostWeaver, который распространяется через известную кампанию SocGholish (также известную как FakeUpdates). Этот бэкдор отличается сложной многоэтапной цепочкой заражения, использованием генерации доменных имен (DGA) и возможностью обхода проверки SSL-сертификатов.
Описание
Заражение начинается с поддельного обновления браузера, распространяемого через скомпрометированные сайты. Жертва загружает вредоносный JavaScript-файл, который затем загружает MintsLoader - многофункциональный загрузчик, использующий обфусцированный PowerShell-код. MintsLoader, в свою очередь, доставляет GhostWeaver, который устанавливает постоянное соединение с сервером управления и контроля (C2).
GhostWeaver обладает рядом опасных функций, включая генерацию доменных имен на основе текущей недели и года, что усложняет блокировку C2-серверов. Бэкдор также обходит проверку SSL-сертификатов, используя RemoteCertificateValidationCallback, который всегда возвращает true, что делает его менее заметным для систем мониторинга.
Одной из ключевых особенностей GhostWeaver является модульность: он способен загружать дополнительные плагины прямо в память, избегая записи на диск. Среди обнаруженных плагинов - крадчики данных (информаторы), такие как Juniper Stealer, которые собирают учетные данные из браузеров (Chrome, Firefox, Edge, Brave), почтовых клиентов (Outlook) и криптокошельков (MetaMask, Exodus, Electrum).
Особую опасность представляет плагин Formgrabber, который внедряет вредоносный JavaScript в веб-страницы, перехватывает вводимые данные (логины, пароли, OTP-коды) и даже подменяет криптовалютные адреса в буфере обмена. Кроме того, Formgrabber использует прокси-сервер для манипуляции трафиком и изменяет порядок шифров TLS, чтобы избежать детектирования по JA3-отпечаткам.
Атаки с использованием GhostWeaver не ограничиваются корпоративными сетями - злоумышленники активно атакуют и домашние системы, что указывает на финансовую мотивацию. Исследователи отмечают, что атакующий кластер, стоящий за SocGholish, известен под разными именами: GOLD PRELUDE, TA569, UNC1543, Mustard Tempest и DEV-0206.
Для защиты от этой угрозы эксперты рекомендуют:
- Ограничить выполнение PowerShell-скриптов в корпоративных сетях.
- Мониторить аномальные сетевые подключения, особенно к DGA-доменам.
- Проверять изменения в порядке шифров TLS и неожиданные прокси-настройки.
- Обновлять браузеры и ПО вручную, избегая подозрительных всплывающих окон с предложением обновлений.
Индикаторы компрометации
