Исследователи кибербезопасности из SophosLabs обнаружили и проанализировали новую услугу на теневом рынке - упаковщик-как-услугу (Packer-as-a-Service, PааS) под названием Shanya. Этот криптер уже активно используется группами, распространяющими программы-вымогатели (ransomware), для сокрытия вредоносного кода от систем защиты. Более того, он применяется для доставки специализированного вредоносного ПО, предназначенного для отключения решений класса EDR (Endpoint Detection and Response, обнаружение и реагирование на конечных точках).
Описание
Появление на теневых форумах
Первые упоминания Shanya под названием VX Crypt появились на русскоязычных подпольных форумах в конце 2024 года. Рекламное объявление обещает покупателям уникальный для каждого заказчика исполняемый файл-загрузчик с индивидуальным алгоритмом шифрования. Среди заявленных возможностей - обход AMSI (Antimalware Scan Interface) для сборок .NET, противодействие анализу в виртуальных машинах и песочницах, а также функции для повышения привилегий и обеспечения постоянного присутствия (persistence) в системе.
Технический анализ и методы обхода защиты
Анализ образцов показал, что код загрузчика Shanya сильно обфусцирован большим объемом бесполезного кода, что затрудняет статический анализ. Упаковщик использует сложные техники для скрытия своей деятельности. В частности, он хранит критически важные данные, такие как адреса API, в поле "GdiHandleBuffer" структуры PEB (Process Environment Block, блок среды процесса). Это позволяет последующим этапам вредоносной программы легко получать доступ к конфигурации, минуя традиционные методы отслеживания.
Для динамического разрешения необходимых функций Windows Shanya применяет технику хеширования API. Кроме того, он содержит проверки на наличие анализа. Например, вызов функции "RtlDeleteFunctionTable" с неверными параметрами предназначен для вызова сбоя при работе под отладчиком. Упаковщик также проверяет, не перехвачен ли этот API системами EDR, и в случае обнаружения хука пытается выполнить оригинальный, незацепленный код.
Основная нагрузка (payload) шифруется и сжимается. Для ее выполнения Shanya прибегает к хитрому методу: он загружает вторую копию легитимной системной библиотеки (чаще всего "shell32.dll") в пространство памяти пользовательского кода. Заголовок и секция ".text" этой копии перезаписываются расшифрованным вредоносным кодом, после чего она загружается с помощью недокументированной функции "LdrLoadDll". Для дальнейшей маскировки Shanya модифицирует записи в списке загруженных модулей системы, подменяя имена файлов.
Ключевые случаи использования: «Убийца EDR» и CastleRAT
Одним из наиболее опасных применений Shanya стала доставка так называемого «убийцы EDR». Этот модуль часто распространяется через DLL side-loading, используя чистую программу "consent.exe" (компонент Microsoft) для загрузки вредоносной DLL. Его задача - деактивировать защитные решения на компьютере-жертве.
«Убийца EDR» действует в два этапа. Сначала он загружает уязвимый, но подписанный легитимный драйвер (например, "ThrottleStop.sys"). Затем с его помощью загружается вредоносный неподписанный драйвер ядра. Получив доступ на уровне ядра, вредоносное ПО получает возможность останавливать процессы и службы, принадлежащие многочисленным перечисленным в его коде продуктам безопасности, что расчищает путь для финальной атаки. По данным исследователей, этот инструмент уже использовался в атаках групп вымогателей Akira, Medusa, Qilin и Crytox.
Другим примером является кампания сентября 2025 года, нацеленная на гостиничный бизнес. Злоумышленники рассылали фишинговые сообщения, стилизованные под Booking.com, которые в конечном итоге загружали вредоносное ПО, упакованное Shanya. Финальной нагрузкой в этой кампании был бэкдор CastleRAT.
География
Детекты файлов, упакованных Shanya, были зафиксированы по всему миру. Однако в конце 2025 года относительно более высокая активность наблюдалась в Тунисе, ОАЭ, Коста-Рике, Нигерии и Пакистане.
Эксперты отмечают, что услуги по упаковке вредоносного кода и инструменты для борьбы с EDR останутся популярными в арсенале киберпреступников в обозримом будущем. Их комбинация представляет значительную угрозу, особенно для организаций, поскольку напрямую нацелена на механизмы безопасности, призванные предотвращать такие атаки. Финансовая мотивация групп вымогателей гарантирует, что подобные инструменты будут и дальше развиваться и совершенствоваться.
Индикаторы компрометации
