В сентябре 2026 года приманка, имитировавшая небольшую американскую страховую компанию, зафиксировала вторжение целиком. От первого контакта до выгрузки более 5 ГБ данных прошло двенадцать дней. Слежка шла с 10 по 22 сентября, почти 289 часов непрерывно. Внутри работала действующая копия корпоративной сети на Windows: свыше тысячи рабочих мест и 550 учётных записей. Настоящих данных в ней не хранилось, поэтому ущерба вторжение не принесло. Ценность в другом - осталась подробная хронология атаки с точностью до сетевого пакета. Такие записи позволяют разбирать действия злоумышленников по шагам, не рискуя реальными системами.
Описание
Началось всё с поддельной капчи. Пользователю показывали окно проверки, где предлагалось вставить скопированный текст, чтобы подтвердить, что он человек. Команда, спрятанная в этом действии, запускается незаметно. Схему называют ClickFix, в описанном случае применялся её вариант KongTuke. Затем жертва получала архив с полезной нагрузкой. В систему проникала вредоносная программа, написанная на платформе Node.js. Она сама скачивала нужную версию среды исполнения и запускалась из пользовательской папки под видом системного компонента. Для владельца машины внешне ничего не менялось.
Главная особенность этого вредоносного ПО - способ связи с управляющим сервером. Адрес не зашит в код. Программа обращается к публичным узлам сети Ethereum и читает оттуда актуальный адрес командно-контрольного сервера, который злоумышленники меняют прямо в блокчейне. Приём получил название EtherHiding. По данным Deception.Pro, такая схема делает инфраструктуру почти неуязвимой для блокировок: домен меняется без правок в самой программе, а регистратора, которому можно направить жалобу, попросту нет. Проверка шифрованного трафика в приманке оказалась включена, поэтому обмен с сервером удалось увидеть в открытом виде - вместе с этапным скриптом и подложным документом, который подсовывали жертве.
Дальше оператор действовал по отработанному сценарию. Сначала в системе появилась новая учётная запись с правами администратора. Потом из неё вытащили хранилище локальных паролей. Отдельно извлекли содержимое области памяти, где Windows держит учётные данные - в каталоге MITRE ATT&CK эта техника извлечения учётных данных значится под номером T1003. Оттуда достали билеты аутентификации Kerberos и применили их повторно. Так злоумышленник заходил на другие машины без пароля. Домен просканировали в поисках новых целей, а права повысили через известную ошибку в механизме работы со служебными токенами Windows.
Для незаметного вывода данных подняли два туннеля. Один шёл через облачный сервис Cloudflare и выглядел как обычное обращение к легитимному сервису. Второй построили на инструменте Chisel, маскирующем трафик под обычный веб-обмен. Через эти каналы из сети ушло более 5 ГБ. Дополнительно включили удалённый рабочий стол и разрешили одновременные сессии, чего по умолчанию не бывает. Экран жертвы при этом снимали потоком и передавали наружу.
Связь с оператором держалась по трём независимым каналам. Кроме вредоносной программы на Node.js, работал агент AdaptixC2 - средство удалённого управления, постоянно отправляющее сигналы на сервер. Третий канал обеспечивал прокси-сервер SystemBC. Избыточность нужна, чтобы потеря одного канала не сорвала операцию целиком. Закрепиться в системе помогли задачи, срабатывающие при входе пользователя, и скрипты, запускающиеся при старте.
SystemBC продают по модели "вредоносное ПО как услуга", поэтому его берут на вооружение разные группы. Основной потребитель - WIZARD SPIDER, объединение, связанное с операторами программ-вымогателей TrickBot, Ryuk и Conti. Его серверы годами держали постоянные каналы связи на тысячах заражённых устройств. Тот же инструмент встречается в атаках ALPHA SPIDER, работающей против серверов виртуализации VMware ESXi, у VICE SPIDER с программами-вымогателями Zeppelin и Hello Kitty, а также у RIDDLE SPIDER, стоящей за Avaddon. Появление SystemBC рядом с агентом AdaptixC2 обычно означает подготовку к шифрованию данных. В реальной компании за такими шагами следует остановка работы и требование выкупа.
Защита от подобного набора строится на нескольких базовых мерах. Рабочие станции не должны обращаться к публичным узлам Ethereum - для офисной машины это верный признак заражения. Появление среды Node.js в пользовательских папках тоже повод для проверки. Отслеживайте запуск системных утилит через окно "Выполнить" и скачивание файлов командной строкой с внешних адресов. Отдельного порога срабатывания заслуживают длительные отправки больших объёмов данных на один внешний адрес: туннели через Cloudflare и Chisel почти всегда выдают себя именно объёмом исходящего трафика.
Учётные данные нуждаются в отдельной защите. Включите встроенные средства изоляции памяти, где Windows хранит пароли и билеты аутентификации, и реагируйте на любые попытки прочитать эту область. Изменения в настройках удалённого рабочего стола и правилах брандмауэра, открывающие доступ к нему, должны попадать в журнал и разбираться. Регулярная проверка списка администраторов помогает заметить лишнюю учётную запись до того, как ею воспользуются.
Само вредоносное ПО при каждом запуске меняет облик, поэтому хеши файлов устаревают мгновенно. Подписи на основе известных образцов здесь работают плохо. Надёжнее выглядят поведенческие и сетевые правила: они ловят не конкретный файл, а цепочку действий - обращение к блокчейну, подозрительную среду исполнения, туннель и массовую выгрузку. Именно такую телеметрию и produces приманка, имитирующая живую корпоративную сеть.
Индикаторы компрометации
