Облачная платформа Vercel использована для доставки многоступенчатого вредоносного ПО

Вредоносная кампания, нацеленная на пользователей Windows, использует облачную платформу Vercel для хранения и распространения вредоносного ПО. Многоступенчатая схема атаки начинается с загрузки PowerShell-кода с промежуточных интернет-адресов, а затем задействует облачное хранилище для доставки архивов и исполняемых файлов. Начальный вектор заражения пока не установлен, однако анализ уже видимой части инфраструктуры позволяет восстановить механику атаки.

Описание

Анализ выявил два интернет-адреса, которые возвращали PowerShell-код вместо обычной веб-страницы. Такое поведение характерно для промежуточных точек загрузки, используемых для скрытой доставки следующего компонента. Примечательно, что на момент проверки антивирусные лаборатории не пометили эти адреса как вредоносные, что подчеркивает сложность обнаружения подобных схем. Более того, при прямом обращении к этим адресам браузер получает не HTML-страницу, а текст сценария, готового к выполнению в системе.

PowerShell-код, полученный с этих адресов, создает скрытую рабочую папку в каталоге данных приложения, скачивает ZIP-архив с поддомена Vercel и запускает извлеченный из него исполняемый файл. Как показало исследование, облачная платформа применяется здесь в качестве хранилища для полезной нагрузки. Такой подход позволяет злоумышленникам быстро менять ссылки на файлы и избегать блокировок по статическим спискам. Рабочая папка создается без прав администратора, поэтому атака может действовать даже в ограниченных учетных записях.

Дальнейшее изучение связанной инфраструктуры выявило на том же ресурсе Vercel несколько файлов: исполняемые программы, ZIP-архивы и текстовые документы, содержащие PowerShell-загрузчики. Часть загрузчиков была сильно обфусцирована - их код намеренно запутан посторонними выражениями, случайными переменными и ложными условиями. Это сделано для того, чтобы затруднить ручной анализ и обойти автоматические средства проверки. Среди файлов встречались как простые скрипты, так и сложные конструкции, извлечение логики из которых потребовало специальных методов декодирования.

Один из загрузчиков демонстрировал пользователю поддельное окно с сообщением "Проверка завершена!" и заголовком "Google.com". Пока это окно отображается, в фоновом режиме выполняются вредоносные операции. Такая уловка может вводить жертву в заблуждение, заставляя думать, что все прошло успешно. Другой загрузчик содержал большое количество лишних математических вычислений и бессмысленных обращений к библиотекам, скрывающих настоящую логику.

После удаления мусорного кода и расшифровки скрытых данных выяснилось, что этот загрузчик скачивает исполняемый файл, сохраняет его в системной папке и запускает. Аналогичным образом еще один обфусцированный файл загружал ZIP-архив, извлекал содержимое в отдельный каталог и запускал исполняемый компонент. Таким образом, на одной площадке Vercel было размещено несколько различных цепочек доставки вредоносного кода. Интересно, что все обнаруженные файлы хранились на одном субдомене, что упрощает злоумышленникам управление инфраструктурой.

Среди применяемых злоумышленниками методов - скрытый запуск PowerShell, динамическое конструирование команд, кодирование данных и повторяющееся XOR-шифрование. Эти приемы позволяют обходить сигнатурные детекторы и задерживаться в системе незамеченными. Использование легитимного облачного сервиса Vercel дополнительно маскирует вредоносную активность под обычный трафик, а также затрудняет блокировку по доменным спискам.

Главный невыясненный вопрос - каким образом жертва попадает на первоначальные адреса, отдающие PowerShell-код. Вероятно, существует более ранний этап атаки, например вредоносное вложение в электронном письме или ссылка, ведущая на эти адреса. Однако этот этап пока не обнаружен, поэтому полная цепочка заражения остается неизвестной. Также требуют дальнейшего анализа скачанные исполняемые файлы - их окончательное назначение и возможные связи между разными цепочками.

Наблюдаемая инфраструктура демонстрирует растущую тенденцию использования облачных сервисов для распространения вредоносного ПО. Организациям рекомендуется усилить мониторинг подозрительных PowerShell-процессов, особенно запускаемых из каталогов данных приложений, и регулярно обновлять средства защиты. Пользователям важно проявлять осторожность при переходе по ссылкам из неожиданных сообщений и не открывать вложения из неизвестных источников. Даже если антивирус не выдает предупреждений, необычная активность PowerShell в системе должна стать поводом для дополнительной проверки.