Paper Werewolf атакует российские компании новым стилером PaperGrabber и кастомными загрузчиками

Группировка Paper Werewolf известна своей нацеленностью на российские организации с 2023 года. Нынешняя кампания демонстрирует рост технического мастерства: атакующие активно экспериментируют с цепочками заражения, используют фишинговые PDF-файлы и установщики Inno Setup, а также постоянно дорабатывают собственные инструменты. Это позволяет им дольше оставаться незамеченными и извлекать конфиденциальные данные.

Кампания стартовала в марте 2026 года. Злоумышленники рассылали письма с PDF-вложениями, которые содержали ссылку на ZIP-архив. Внутри архива находился исполняемый файл, имитирующий установку легитимного плагина для Adobe Acrobat. На самом деле он скрыто запускал троян удалённого доступа EchoGather и подкладывал PDF-приманку. Пользователь, поверив в обновление, сам запускал вредоносную установку.

EchoGather позволяет собирать информацию о скомпрометированном устройстве: локальный IP-адрес, имя компьютера, имя пользователя, идентификатор процесса и путь к запущенному файлу. Троян также умеет загружать файлы на сервер управления и обратно, а также выполнять команды через интерпретатор командной строки. Интересно, что в новых образцах разработчики убрали явную инициализацию прокси из конфигурации, но добавили магический параметр, который вычисляется после проверок на виртуальное окружение. Это значение затем сверяется при обмене данными с сервером.

В ходе анализа инфраструктуры Paper Werewolf специалисты обнаружили файл DocDownloader.exe, связанный с сервером управления. Этот исполняемый файл оказался ранее не известным стилером на языке VB.NET, который назвали PaperGrabber. Он умеет собирать файлы с локальных, сетевых и съёмных дисков по заданному списку расширений. В этот список входят документы, изображения, файлы конфигурации, ключи SSH, сертификаты и многие другие типы данных. Стилер также крадёт учётные данные, сохранённые в браузерах, и извлекает сессии мессенджера Telegram. Вся собранная информация шифруется и отправляется на сервер управления. Кроме того, стилер ведёт лог активности и отправляет отчёт в Telegram-бот.

PaperGrabber состоит из нескольких функциональных модулей. Первый отвечает за сбор файлов, второй - за кражу сессий Telegram, третий - за извлечение паролей из браузеров, четвёртый - за мониторинг подключения съёмных носителей. При поиске файлов стилер обходит системные и служебные каталоги, чтобы не привлекать внимание. Отдельный интерес представляют файлы, в имени которых встречаются строки id_rsa, ssh, private, key - это указывает на целенаправленный поиск закрытых ключей для удалённого доступа.

Для телеграм-сессий стилер ищет каталог tdata в нескольких стандартных расположениях, включая папку AppData и пути из ярлыков. Если найден работающий процесс Telegram Desktop, он копирует данные из его папки. Для кражи паролей из браузеров используется механизм DPAPI - стандартный для Windows способ защиты данных. После расшифровки пароли сохраняются в файл вместе с URL и датой создания, после чего отправляются на сервер. Для браузера Yandex реализован отдельный модуль, так как его формат хранения отличается.

Ещё один компонент кампании - загрузчик на JavaScript, работающий через легитимный интерпретатор Node.js. Он устанавливает постоянство в системе через реестр Windows, используя ключ LOAD. Затем загружает шеллкод с сервера управления и выполняет его в памяти процесса. Адрес для загрузки формируется динамически с учётом имени компьютера и имени пользователя. Сам шеллкод на момент исследования не был доступен.

Параллельно обнаружен кастомный имплнт для фреймворка Mythic в составе RAR-архива. Он включает Python-загрузчик, C++-загрузчик и бинарный файл с обфусцированным шеллкодом. При запуске имплант создаёт мьютекс, расшифровывает строки, динамически получает адреса WinAPI-функций, а затем выполняет обмен ключами шифрования с сервером управления. Используется алгоритм RSA-4096 и AES. После установки сессионного ключа имплант отправляет на сервер детальную информацию о системе: имя пользователя, версию ОС, домен, архитектуру, список IP-адресов, уровень привилегий и другое. Команды от сервера выполняются в цикле с заданным интервалом ожидания.

Дополнительно в кампании применялся загрузчик на C++, замаскированный под форму заявки на обучение в лётной школе. Он проверяет наличие признаков виртуальной машины, извлекает документ-приманку и открывает его, чтобы отвлечь жертву. После этого загружает шеллкод с сервера и исполняет его в памяти. Аналогичный подход использовался в атаке с WSF-файлом, содержащим встроенный VBScript. Он открывает PDF-приманку в браузере, затем создаёт MSBuild-файл с C#-программой и запускает её через легитимный инструмент MSBuild. Эта программа в бесконечном цикле каждые 30 секунд запрашивает с сервера полезную нагрузку и выполняет её в памяти.

Последствия текущей кампании могут быть серьёзными. Злоумышленники получили доступ к учётным данным сотрудников, файлам конфигурации, закрытым ключам SSH и переписке в Telegram. Всё это позволяет им проникать глубже в корпоративные сети, похищать коммерческую тайну и нарушать работу предприятий. Особую опасность представляет возможность кражи ключей для удалённого доступа к серверам и инфраструктуре.

Группировка Paper Werewolf продолжает совершенствовать свои инструменты и методы. Использование нескольких этапов доставки, обфускация кода, проверка на виртуальное окружение и применение легитимных системных утилит для выполнения кода делают эти атаки сложными для обнаружения. Организациям, работающим в промышленности, финансах и транспорте, стоит усилить контроль за фишинговыми атаками, проверять вложения и ссылки в письмах, а также внедрять средства поведенческого анализа для выявления подозрительной активности в памяти процессов.