Новый бэкдор Mistic связывает группу Woodgnat с вымогательскими атаками

В одном из расследованных инцидентов бэкдор был развёрнут одновременно с известным удалённым трояном ModeloRAT, который, как показал анализ Symantec, ранее применялся для доставки вымогательского ПО Qilin. Сама Woodgnat публично связывается с атаками, в которых использовались программы-вымогатели Qilin, Interlock, Rhysida, Akira, 8Base и Black Basta. Таким образом, Mistic, вероятно, является ещё одним кастомным инструментом в арсенале брокера, продающего доступ к корпоративным сетям.

Бэкдор распространяется методом подмены DLL (sideloading). Злоумышленники используют легитимный исполняемый файл MpExtMs.exe, который загружает вредоносную библиотеку EndpointDlp.dll - это имя ассоциируется со стандартными компонентами защиты Microsoft, что помогает инструменту маскироваться под доверенное ПО. После загрузки Mistic получает возможность выполнять произвольный код с сервера управления (C2), загружать и выгружать файлы, создавать и удалять каталоги, а также изменять периодичность опроса командного центра. Важно отметить, что все эти действия происходят в памяти, что значительно затрудняет обнаружение традиционными сигнатурными методами.

Жертвами Mistic стали организации из разных секторов: страхование, образование, информационные технологии, профессиональные услуги. Выбор целей носит оппортунистический характер - атакующие не фокусируются на какой-то одной отрасли, а стремятся получить доступ к как можно большему числу сетей, после чего оценивают их коммерческую привлекательность для продажи. Помимо Mistic и ModeloRAT, в атаках использовались стандартные утилиты Windows: curl, reg.exe, net.exe, PowerShell, certutil, WMIC. Наличие таких инструментов указывает на то, что после проникновения злоумышленники проводят разведку вручную, изучая структуру домена, учётные записи и сервисы.

Группировка Woodgnat активна как минимум с мая 2024 года. Её основной бизнес - не доставка финальной вредоносной нагрузки, а создание устойчивого и хорошо защищённого доступа внутри предприятия, который затем продаётся аффилированным лицам, занимающимся вымогательством. Для первоначального проникновения Woodgnat использует скомпрометированные сайты на WordPress: через уязвимые или неверно настроенные плагины, а также с помощью украденных учётных данных. На заражённых сайтах размещается JavaScript-код, который профилирует посетителей и показывает им социально-инженерные приманки.

Эти приманки эволюционировали: от фальшивых ошибок и капч (ClickFix) до поддельных команд в адресной строке проводника Windows (FileFix) и имитации краша браузера (CrashFix). Во всех случаях жертву побуждают вручную вставить и выполнить PowerShell-команду, полученную от злоумышленников. С апреля 2026 года Woodgnat также начала использовать звонки через Microsoft Teams под видом службы поддержки, чтобы убедить сотрудников ввести команду. Операторы меняют несколько арендаторов Microsoft 365, чтобы избежать блокировок, и могут получить доступ к сети в течение нескольких минут после выполнения одной команды.

После выполнения команды запускается многостадийная цепочка на PowerShell, которая загружает портативную среду WinPython с трояном ModeloRAT. Этот троян использует шифрование RC4 для связи с несколькими резервными C2-серверами, что повышает устойчивость атаки. Для закрепления в системе создаются записи в автозагрузке реестра, маскирующиеся под легитимное ПО (AnyDesk, Splashtop), ярлыки в папке автозагрузки, VBS-скрипты и запланированные задачи. После закрепления группа проводит разведку с помощью встроенных средств Windows, извлекая хэши паролей через Kerberoasting, а затем похищает данные через curl.

Особенность Woodgnat - фокус на преодолении защиты и скрытности. Для корпоративных машин, входящих в домен, используется более тяжёлая версия ModeloRAT, тогда как для изолированных хостов применяется обфусцированный вариант с генерацией доменов по алгоритму (DGA). Злоумышленники профилируют жертву на предмет наличия средств анализа, виртуальных машин и определяют, является ли компьютер доменным. Это позволяет им тратить ресурсы только на действительно ценные цели.

Использование кастомных инструментов, таких как Mistic и ModeloRAT, указывает на тенденцию среди брокеров начального доступа и вымогательских группировок отходить от использования исключительно легитимных утилит (living-off-the-land) в сторону собственных разработок. Mistic, с его возможностью работы только в памяти и механизмом самоуничтожения, представляет серьёзную угрозу, особенно для организаций, не имеющих продвинутых систем мониторинга поведения и анализа оперативной памяти. Такой инструмент может оставаться незамеченным неделями и месяцами, предоставляя атакующим постоянную точку опоры для последующих атак, включая развёртывание программ-вымогателей. Компаниям всех секторов следует усилить мониторинг необычной активности PowerShell, подозрительных вызовов легитимных утилит и внедрения кода в доверенные процессы.