В начале 2026 года зафиксирована серия фишинговых атак с использованием ранее неизвестного трояна SafeRat. Вредоносная программа распространяется через ZIP-архивы, вложенные в письма, и маскируется под финансовые документы: счета, отчёты, налоговые декларации. Основной целью атак являются пользователи в Азии, в том числе в Индонезии. По имеющимся данным, за распространением стоит группировка Silver Fox, уже известная применением схожих инструментов.
Описание
Для заражения применяется техника подмены библиотеки: троян записан в виде файла, который подгружает легитимная программа с цифровой подписью. Пользователь открывает вложение, после чего вредоносный код попадает в систему. Далее SafeRat собирает сведения о компьютере, имя учётной записи, информацию об установленных антивирусах и мессенджерах, после чего связывается с управляющим сервером. Операторы могут удалённо выполнять команды, похищать данные и управлять заражённой машиной.
Одной из ключевых особенностей SafeRat, по данным анализа, является возможность незаметно установить легитимное программное обеспечение для удалённого доступа SunLogin, после чего злоумышленники получают учётные данные от него и могут полностью управлять экраном жертвы. Кроме того, троян умеет отключать популярный в Китае антивирус 360 Total Security и закрепляться в системе с помощью системного планировщика Windows. Такая комбинация функций делает атаку особенно опасной для организаций, которые не используют дополнительные средства защиты.
Для маскировки SafeRat использует имена файлов, характерные для известного программного обеспечения, например компонентов программ чтения с экрана или графических редакторов. После распаковки архива пользователь видит знакомые названия и запускает вложение без подозрений. В ходе исследования также обнаружены два загрузчика, которые доставляют троян. Один из них, получивший название DONUTLoader, применялся ещё в мае 2025 года для загрузки другого вредоносного кода - ValleyRat. Второй, UUIDLoader, появился в конце мая - начале июня 2026 года. Использование одних и тех же загрузчиков для доставки разных вредоносных программ подтверждает связь SafeRat с инструментарием группировки Silver Fox.
Судя по анализу, код SafeRat имеет общие корни с более старым трояном Gh0st, а также с ValleyRat. При этом новый троян заметно проще: он не скрывает свои строки и не шифрует исходящий трафик. Однако простота компенсируется набором функций, ориентированных на атаку на конкретные системы. В частности, троян проверяет наличие антивирусов и мгновенно сообщает оператору, если жертва использует мессенджеры Telegram, WeChat или другие. Кроме того, SafeRat передаёт на управляющий сервер заголовки окон, которые открывает пользователь, что позволяет злоумышленнику следить за его действиями в реальном времени.
SafeRat относится к категории троянов удалённого доступа (RAT, Remote Access Trojan). Такие программы позволяют оператору управлять компьютером жертвы так, будто он сидит за ним лично: запускать приложения, просматривать файлы, записывать нажатия клавиш. Среди команд, которые поддерживает троян, - перезагрузка компьютера, загрузка и выполнение дополнительных модулей, а также обновление конфигурации. Дополнительные модули выполняются прямо в памяти, не оставляя следов на диске, что затрудняет обнаружение атаки традиционными антивирусами. При этом сам SafeRat использует фиксированный ключ шифрования и простой протокол связи, что делает его уязвимым для перехвата трафика, но не снижает его опасность для недостаточно защищённых систем.
Фишинговые письма рассылаются с темами, переведёнными на индонезийский язык: "Налоговая декларация", "Счёт за май", "Отчёт за июнь". В архивах находятся исполняемые файлы с названиями "Открыть", "Проверить", "Прочитать", что увеличивает вероятность того, что получатель запустит вложение. Такая тактика характерна для кампаний, нацеленных на сотрудников бухгалтерий и финансовых отделов. Жертвами могут стать как компании, так и частные лица, причём география атак указывает на приоритет Индонезии и других стран Юго-Восточной Азии.
Стоит отметить, что группировка Silver Fox уже использовала схожие налоговые фишинговые кампании для доставки трояна ValleyRat в Индии и других странах. Новая кампания с SafeRat продолжает эту линию, но с более простым и узкоспециализированным инструментом. Переход на новый код может быть связан с желанием обойти существующие сигнатуры и создать более гибкое решение. Примечательно, что один из образцов DONUTLoader был собран всего за несколько дней до начала фишинговой рассылки, что указывает на быстрое развёртывание новой версии.
Для защиты от SafeRat рекомендуется не открывать вложения из неожиданных писем, особенно если они поступают от неизвестных отправителей, и проверять архивы антивирусом. Организациям стоит обращать внимание на появление незнакомого программного обеспечения для удалённого управления на рабочих станциях, а также на подозрительные задания в системном планировщике. Регулярное обновление программ, использование многофакторной аутентификации и обучение сотрудников правилам работы с электронной почтой снижают риск проникновения. Появление SafeRat показывает, что даже простые по конструкции вредоносные программы остаются действенным инструментом в руках опытных группировок, ориентированных на региональные цели.
Индикаторы компрометации
IPv4
- 108.187.41.140
- 192.163.167.137
- 192.229.87.194
- 2.16.164.120
- 207.56.138.28
SHA256
- 01e368e76f47cf1852399d1b503228c2e1a7d701e4cc672350071e17039cb6ca
- 0b7294a12642958a4a518c872a22186fa5fd9187cb175dc2a99aa1307bbcf8e0
- 0eab8022280de796ce07b4702aed94eecebf2421d9c7e479d0d9b1476e32ae39
- 11106a7b33d81c8af62ecd0e76679ead28a6a71b45a04e5883c2e493ee3ed09c
- 1754f93e71f2c28a5c68d4f36de5c1f66a9ef8ee52635a46d54c3c701e488ab5
- 18ba335720a5fd49510811937b762d6e882a6fd0aa15ef73b9290f413664e4a7
- 1a63eabb0ff4c7739b038cde4db5b797c501de594cec1e2ebce09b4ab84a0044
- 1b89cbd0c33372ea7c34e3e1b47a643f9426dc89a0927a932578526799f12015
- 1e45a6ac936c048d3cbb77ad8417da051013080a8beee4c8ab74f3ca3201dac1
- 1fa50c65a7f00e53d3fb799b45dccdcb621ee8a89b91223bdeca3fec5bc79a56
- 20a1eb889bbfae659485d49fbdc4e6dbbf54921b883950311362368d42e4499d
- 20fe8157dd9c429b06414326a33e206041de1d390b6bef15470c5907cc31526c
- 21e74121e9fc55422530690ac9e1a08ccf34691c0ed04507966ba1461b3cfc4b
- 253f5d49f3a3a9709bde100be46d5f526823b336a9ff2a35b096fabaefd3fb57
- 295e0f3a1d7bb9abeae37806ae886b921d40b143c3226796b14f314e8ab8f31a
- 2c84a59bd6cdcad7e2e94425b9199a676171a8071199d54d6ffc360e4b76e045
- 2cd958f26b193a8465a63b01150a9f1638dc1a9e4169ee7d56cdc2f15797be48
- 2d7707b1cdde3877ceecf06ad0672e2f56892e14d540720c3aec250de8c45f44
- 2ecc53cb0838bb48e7a76b0135b01c2e9561dbb06a6dc4938e0248ce9bd4e687
- 397aa936e65ec95094e55d7b92047516e6deb1f9db180c0fdc6891b90c5b3958
- 3de165f06f24d3e20626c23f843cfee851696113744a4477bb4c728b5f08cac8
- 3f9183914a026750501bfb7fa337fa77c9e145f835f2da6c2957490ba280e3e2
- 3fbc3a459e5d3ba59a14d171e7f12b58c92f9890693d5762bef153a35f6a90e9
- 40b464036b1ca5bc0ef0ccc814fe7164cf7d25924f03bacbeaed4c52a3e10cbd
- 433bcaa5d3f6316e67627825f3a9ddffb846d6c55443fe4dd536c540ae729da3
- 43b39d1186e0693bce8b24f40a99dfe7121c439d8781cca3ae498459edffd372
- 4ce4f29f8af6076cc207ff1b1b195850cb00cd0d7edb0d2c27fc2e21f879b4d0
- 4e13caaa47091d8a072ab0c22d1193fa45da9e9289577a7790add161ac527d10
- 4ed1ad00377abab9a531e42a959ba9d8b8beada24c206cd36ec9a9b134639ca5
- 52855524f5d74ed2169f18ff843cef4651dc45caff0b1f76b0771b589c005795
- 531e61e5376d7e7aff0a33752074fc1914039273545ddbeeb408866ad8889270
- 5751ebc85dc74c7ee63b9acfe42f8480b3bc8c3b6fbc1a7da750cbc62b284ee0
- 5b9f60b0dfc4a9afa4ae13ea4d22940587f0d4d82e504843c87fd374c96cb35c
- 60fdf557380e8491067a7a16afa9e53987619d01aa4558c71c2cc7df18cbc767
- 651ab5f27cde3b1d8d5809e58b0655b6254b023dfb191e21da43485f2f14e95d
- 684c8aceae524978cb7249e2d63150c3efa544005cb654311a0b3895d9cfa7ee
- 6c1c8e105f3c58f3847c69624f466cf51620929d6f24bbb3d6d3fd452aae9c25
- 6c2fe2948e1dfd62792296514fce47d167c1a0ea7c4285c94b2d8a8e29a330f6
- 6fc82b4e6a944a3f7bce7a39276ed5246a5d78d17a75ba36a7dd39873c852f3a
- 6fcad0e424b2dca99a242400aceb2071a2aead43269092e14737f3fea7106f00
- 705e9d8b8777ff03c3baaa64c95369fc7f118eca13507b41879011f21e5a7044
- 71f68cb728ea7f00578bb95cd78d006d10a1086f919407c12b514bdc23383cb6
- 74696bda62d1eac37098dc8171e9818a16b6dc9af971829f49ddec6cddcb6775
- 7aefba9d897f2ec4eadd1bf77910c1689d0109ac1e6b8d96ebbf9ced1daf37fd
- 7c90665c596feb13924f096c1048071ddbb35e9592dfdcc9061d3792058be2a3
- 7e1de01b331c6cb7f01dbf42cd7cdd3a2f718abd1864340a118c776ee9262293
- 8004caab1359a0408d958b30d1f944b7063d1825625e5fd6af737183eeb88383
- 803c8dec5e52253d79fa955d33e53f307caaf5217d84ec278b2887fbacd369bd
- 84eab22a1acf6c03126ce39e5b2453f830d134d3cf9d2bd356278b4c581ee7e6
- 8af56f646ff1549dd2206b2a46f88a5a7aa3c19acf9775f37ecfb39be46ed0a5
- 8c2595230364ded7b4c293f25eb6b2695514515a0ec67dc4733c4c3c1963d476
- 8cbcb11bff7e3d20100a772a07e6b7b18d89f74b0ce6c592af9494911a3179e3
- 93eb1f63eda09848e331c534919242f7efe4a9067d0c79d1a5f0e0f626b9e76f
- 9664222497fc5a452e998ccde26c6b2bd92b6f4d2003b01f123326191cf88877
- 9a6502803f553315c9c5295c8c60fccf71f73a49c9822b92e250008beec22163
- 9e690ad9ad3f8a7aa1583179326928c42e6277be91dca807fb7d21f20f8ee305
- a27b9917ec5c89a17a5f8628bc019141749cf752e1bbb7a2cb3004f671d2eaa5
- a4252a57bf045ad23899bdff815da6e710459839d8bc11315bca07719030e6b7
- a7c0e85bc65ab6b1743796b268b3052db9ef20bb54b79ccdfae3f1251dc68eae
- ad27c4ad638f983a5e84018f622e65c1bec2a59103b4d2f743fdae8bfd187cb0
- b0e885948d6bcf6174d58d84bcb6489679b486060e53b7dcfe086e615f8baaed
- b431272aa91156ec4b6fdb66d212b427a5ccd2304a7a945f16b8efcbaf0bafcb
- b5c6b78db70a167f36b9fe7c88df4377a6b8faaadade9efb830ad8cead8132ff
- b73a188c19b57b1c1ecdcaee9cbd56f3274d334648725903d8e0983dfa60aff3
- b977105438f9628b9bdc21768e0662fabb67997b31e40d0e4f58dcaaa894ebd6
- c904cdac849fdbb49274a3c075db8845791e923250d08d558a4115936ef44405
- d23b419cf545a6c7dad7e5a6d769a733004d8b3d191fc66cc6f285f0c5d76b17
- e63ac91d2bc21f0dd05f546f92112162ce8200cf97b59f6c46f608d1a6365502
- e77c69c35c31087a785857b2e39b653574fcfe3eb9533d92f1a85a3cc0eadd30
- e792e012473f945787a6228b876407d0f98fc824a456b5412f6991a726c816d7
- e837329b713fc6a5b133cd64576593a31457748a2d0a2c5c6407c5b5168bdeaa
- eea353c05e471ba615247f247c75af999fb1e96dc2f755d6305b975d7fe218f5
- f3788b3cbcda4bc659ac697aa6742609df40c33cdc60f0dc32bdd0caa5c4b95f
- f451e09601afb79b2e57bf46b394de7f218abacaed7f3c47d0359ec1517e725c
- f5cf6da7fd383b6c6bba599dc9df4d5ea13a0792047dd14b44e94ceba9689f84
- fb3c378838e806a74a5d8b228d054ed8c74e7d2cc8c76ce899b8046a386d72e1
YARA
| 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 | rule SafeRatStrings { meta: description = "SafeRat specific strings" author = "ExaTrack" // this rule will not resist light modifications, but with careful selection it might be // split into different rules which can target specific features :) strings: $proc1 = "Telegram.exe" ascii $proc2 = "WeChatApp.exe" ascii $proc3 = "360tray.exe" ascii $proc4 = "multitip.exe" ascii $proc5 = "xrk.exe" ascii $dbg1 = "%s --> Error: %d, EC: %d" ascii $dbg2 = "---------------> Client Worker Thread 0x%08X stoped <---------------" ascii $dbg3 = "<C-CNNID: %Iu> OnSend() event should not return 'HR_ERROR' !!" ascii $str1 = "SunloginClient" wide $str2 = "-connect %s:1111" ascii $str3 = "sysmt64" ascii $str4 = "SOFTWARE\\%s\\" ascii $str5_1 = "Plug" ascii $str5_2 = "in32" ascii $str5_3 = ".exe" ascii $str6 = "Global\\SafeRatOnlineMutex" ascii $lib1 = "AVCTcpClientListener" ascii $lib2 = "deflate 1.2.13 Copyright 1995-2022 Jean-loup Gailly and Mark Adler" ascii $lib3 = "CTcpPackClientT" ascii condition: uint16(0) == 0x5A4D and all of them } |
| 1 2 3 4 5 6 7 8 9 10 11 12 | rule SilverFoxDonutLoaderStrings { meta: description = "SilverFox DonutLoader specific strings" author = "ExaTrack" strings: $str1 = "Software\\Microsoft\\Windows\\CurrentVersion\\Run" ascii $str2 = "CreateToolhelp32Snapshot" ascii $str3 = "Windows Security" ascii $str5 = "mscoree.dll" wide condition: uint16(0) == 0x5A4D and all of them } |
| 1 2 3 4 5 6 7 8 9 10 11 12 13 14 | rule SilverFoxDonutLoader { meta: description = "SilverFox DonutLoader code" author = "ExaTrack" strings: $rc4_1 = {8BC1884C142083E07F488D5201FFC10FB604288884141F0100003BCE7CE2} $rc4_2 = {8D470125FF0000807D09FFC80D00FFFFFFFFC0} $rc4_3 = {4C8D442420450FB60C384103D181E2FF000080} $rc4_4 = {4863C2488D4C24204803C80FB60141880438448809410FB60C384903C90FB6C10FB64C042041300E49FFC64983EA01} $proc_1 = {33D248899C248002000041B834020000C744242038020000} $resrc_1 = {0F1040100F1048200F10100F294424300F1040300F294C244066480F7ED30F10484048C1EB200F294424500F1040500F294C24600F1048600F294424700F1040700F298C2480000000F20F108880000000660F7ED00F295424200F29842490000000F20F118C24A0000000} condition: uint16(0) == 0x5A4D and all of them } |
Suricata
| 1 2 3 4 5 6 7 8 | alert tcp any any -> any any ( msg:"SAFERAT keepalive header generic"; flow:established; content:"|11 00 C0 FF 11 00 00 00 01 00 00 00|"; dsize:21; sid:1000001; rev:1; ) |
| 1 2 3 4 5 6 7 8 | alert tcp any any -> any any ( msg:"SAFERAT keepalive key 8FA24DC719E36B5E923AF17CB845D621"; flow:established; content:"|11 00 C0 FF 11 00 00 00 01 00 00 00 78 9C EB 03 00 00 8F 00 8F|"; dsize:21; sid:1000002; rev:1; ) |
| 1 2 3 4 5 6 7 8 9 10 | alert tcp any any -> any any ( msg:"SAFERAT HELLO header"; flow:established; content:"|C0 FF|"; offset:2; content:"|00 00 48 03 00 00|"; distance:2; sid:1000003; rev:1; ) |
