Команда UserGate uFactor опубликовала тревожные результаты исследования современных фишинговых атак, где злоумышленники используют казалось бы безобидные ярлыки и пакетные файлы для доставки сложных вредоносных нагрузок. Специалисты UserGate провели детальный разбор двух изощренных сценариев, демонстрирующих эволюцию тактик киберпреступников.
Описание
В первом случае аналитики столкнулись с LNK-файлами, содержащими зашифрованные PowerShell-скрипты, а во втором - с BAT-файлами, запускающими цепочку загрузки обфусцированных Python-модулей. Оба метода объединяет фишинговая рассылка как основной вектор атаки, где вредоносные вложения маскируются под ZIP-архивы, иногда защищенные паролями, указанными в теле письма.
Исследование LNK-файлов выявило сложный механизм сокрытия вредоносного кода. При анализе hex-редактором специалисты обнаружили, что ярлыки содержат закодированные в base64 аргументы "a" и "b", где первый представляет зашифрованный скрипт, а второй - ключ дешифровки. Используя модифицированный PowerShell без команды Invoke-Expression, эксперты расшифровали алгоритм: злоумышленники применяли System.Security.Cryptography.AesManaged для симметричного шифрования AES. Расшифрованный сценарий пытался загрузить и исполнить файл с удаленного ресурса emptyservices[.]xyz, который на момент анализа был недоступен. Ключевая деталь - переменная $KEYIV, предположительно используемая для дешифровки основной нагрузки.
Более многослойная атака через BAT-файлы поражает своей продуманностью. Первоначально файл отображался как набор нечитаемых символов в стандартном блокноте. С помощью CyberChef и плагина Text_Encoding_Brute_Force специалисты определили кодировку UTF-16LE, после чего раскрыли многоступенчатый сценарий. Он включал отвлекающий маневр с открытием PDF в папке Downloads, поиск антивирусных процессов, каскадную загрузку файлов из интернета и запуск Python-скриптов. Особое внимание привлек файл startuppp.bat, прописываемый в автозагрузку, который активировал серию скомпилированных .py-файлов типа fv1.py и yam1.py. Декомпиляция через PyLingual выявила класс Kramer, указывающий на применение обфускатора kramer-specter. После деобфускации проявился механизм расшифровки и выполнения шеллкода.
Наиболее опасным аспектом BAT-атаки оказалась техника внедрения кода в легитимные процессы. Каждый из шести вредоносных модулей создавал экземпляр notepad.exe, используя технику parent process spoofing для маскировки под Explorer.exe. Это не только затрудняет обнаружение средствами защиты, но и вводит в заблуждение исследователей при анализе процессов. Динамический тест показал, что внедренный код сохраняет устойчивость даже после закрытия терминала, а его модульная архитектура позволяет гибко адаптировать функционал.
Эксперты UserGate подчеркивают, что обе атаки демонстрируют тревожную тенденцию: киберпреступники активно используют легитимные инструменты Windows (CMD, PowerShell, Python) в сочетании с простыми, но эффективными методами сокрытия. Криптография в LNK-файлах обходит сигнатурные детекты, а многоэтапная цепочка BAT-файлов затрудняет анализ поведенческими системами. При этом сложность атак не требует от злоумышленников глубоких знаний - большинство инструментов (обфускаторы, шифраторы) доступны в darknet.
В заключение исследователи отмечают, что защита от таких угроз требует комплексного подхода. Помимо регулярного обучения пользователей распознаванию фишинга, необходимы решения, анализирующие цепочки процессов, детектирующие аномальное поведение скриптов и проверяющие контекст выполнения команд. Ручной анализ, как продемонстрировала команда UserGate, остаётся критически важным для выявления новых TTPs (Tactics, Techniques and Procedures) и обновления защитных механизмов. Кибербезопасность превращается в непрерывную гонку, где понимание методик противника становится ключом к построению эффективной обороны.
Индикаторы компрометации
