PhantomEnigma: скомпрометированные государственные порталы Бразилии стали каналом скрытых атак на банки и госсектор

Исследование, основанное на анализе 231 сеанса в интерактивной песочнице за период с января по июль 2026 года, показало, что кампания представляет собой скоординированную операцию с несколькими векторами атаки. Использование доверенной инфраструктуры позволяет задержать обнаружение и увеличить затраты на расследование, а также повышает риски финансовых потерь, утечки данных и сбоев в работе организаций.

Ключевой особенностью PhantomEnigma является применение скомпрометированных бразильских государственных систем на этапе доставки. Не менее 20 муниципальных и полицейских порталов .gov.br использовались для распространения вредоносных установщиков. Взломанные почтовые ящики позволяли фишинговым письмам успешно проходить проверки SPF, DKIM и DMARC, что делало их практически неотличимыми от легитимной корреспонденции. При этом сами государственные системы выступали именно звеном доставки, а не конечной целью атакующих.

Техническая основа бэкдора - модульная вредоносная программа на Node.js, доставляемая установщиком на Delphi/Inno Setup. После запуска установщик разворачивает модифицированное приложение Boostnote, в котором легитимный код заметок заменён вредоносным файлом index.js. Этот файл содержит самообфусцирующуюся логику: он собирает информацию о системе, отправляет её на командно-контрольный сервер (C2), создаёт механизм закрепления через ключ Run в реестре и входит в цикл ожидания команд.

ANY.RUN выявил ранее не задокументированное поколение маяков бэкдора. Помимо известного GET-запроса к конечной точке /laravel.php, вторая генерация использует POST-запрос к /nbw/ с JSON-данными, содержащими идентификатор машины, имя компьютера, имя пользователя и метку кампании. Это подтверждено повторным запуском образца 12 июля 2026 года, который показал активный обмен с доменом zsxocjarsate[.]com.

Инфраструктура кампании постоянно ротируется. Список доменов C2 включает как случайно сгенерированные имена (dahieenloo[.]com, eeresofeuae[.]com), так и имитирующие полицейские сайты (policiacivilmg[.]com, pccvill[.]com). Бэкдор использует Cloudflare для фронтальной части, а фактический сервер находится за прокси. Известные C2-домены покрывают лишь 33% сеансов в кластере. Две трети образцов никогда не обращались к известным доменам, а вместо этого использовали скомпрометированные .gov.br хосты или уже сменённую инфраструктуру.

Связь с другой ветвью атаки - фишинговой кампанией Ofício-PC - подтверждена общими скомпрометированными правительственными хостами. Как минимум четыре портала .gov.br и .jus.br использовались одновременно для распространения поддельных PDF-документов с QR-кодами (схема ClickFix) и установщиков PhantomEnigma. В рамках ClickFix жертву просили запустить PowerShell-команду, которая загружала и выполняла дополнительную нагрузку, включая Cobalt Strike. Предоставленный анализ сетевого трафика показал, что обе ветви используют одинаковые полицейские темы и скомпрометированную публичную инфраструктуру, что указывает на единого оператора.

Наиболее стабильным индикатором кампании является не конкретный домен или IP, а цепочка сборки вредоносного ПО. Комбинация тегов "Delphi", "Inno Setup", "Node.js" и "installer" однозначно идентифицирует все 231 сеанс в песочнице. Это позволяет обнаруживать новые образцы даже после полной смены доменов и хостинга. Например, три четверти образцов в кластере не контактировали ни с одним из известных C2, но все они были собраны одинаковым способом.

Для команд безопасности это означает, что полагаться только на списки блокировки доменов недостаточно. Злоумышленники меняют C2 еженедельно, а скомпрометированные правительственные порталы - раз в несколько недель. Более надёжными методами становятся обнаружение по поведению, анализ в песочнице с последующим ретроспективным исследованием и использование правил YARA, нацеленных на характерные фрагменты кода, такие как структура маяков JSON.stringify(), сбор COMPUTERNAME и USERNAME, а также механизм закрепления setLoginItemSettings.

Среди дополнительных рисков - возможность расширения кампании за счёт новых скомпрометированных хостов. Уже зафиксировано как минимум семь новых порталов .gov.br сверх первоначальных 14. Оператор может также перейти на HTTPS-шифрование для C2, что сделает обнаружение по сетевым сигнатурам менее эффективным.

Финансовые последствия для атакованных организаций включают кражу банковских учётных данных, несанкционированные транзакции и утечку конфиденциальной информации. Задержка в обнаружении, обусловленная чистыми вердиктами автоматических сканеров (почти треть образцов не определялась как вредоносные), может привести к боковому перемещению внутри сети и распространению на критические системы. Стоимость расследования и восстановления возрастает из-за необходимости анализировать несколько, на первый взгляд, не связанных инцидентов.

PhantomEnigma демонстрирует, как современные кампании обходят традиционные методы защиты, используя доверенные источники и модульные нагрузки. Единственным способом своевременного выявления остаётся комплексный подход: поведенческий анализ в песочнице, непрерывный мониторинг изменений в цепочке сборки, корреляция событий из разных систем защиты и регулярная охота на угрозы с помощью TI Lookup. Только сочетание этих мер позволяет сократить время от первого подозрительного сигнала до подтверждённой компрометации и минимизировать ущерб.