Поддельная страница от имени DocuSign, замаскированная под уведомление о медицинской проверке для держателей лицензий во Флориде, предлагала посетителям скачать готовый документ. Настоящая цель кампании - установить на устройство жертвы программу удалённого доступа ConnectWise ScreenConnect. Атаку удалось остановить на этапе веб-сессии, до того как вредоносный файл попал на компьютер. Разбор этой схемы показывает, как злоумышленники собирают убедительную историю из легальных сервисов и встроенных средств Windows.
Описание
Схема опиралась на три элемента доверия. Первый - узнаваемый бренд сервиса электронного подписания документов DocuSign. Второй - имитация проверки безопасности Cloudflare, сервиса защиты сайтов от автоматизированных атак: посетителю показывали последовательность шагов, похожую на стандартное подтверждение, что он не робот. Третий - правдоподобный повод. Легенда о проверке биографии и медицинского допуска создавала ощущение срочности: человеку сообщали, что уведомление готово и доступно для скачивания. Чтобы получить файл, посетитель должен был сам пройти поддельную процедуру подтверждения. Такое построение отличает кампанию от скрытой загрузки, которая срабатывает без ведома пользователя: здесь жертву убеждают нажать кнопку своими руками.
По данным Menlo Security, страница размещалась на Cloudflare Pages, платформе для публикации статических сайтов, и не имела никакой связи с DocuSign. Аналитический механизм с поддержкой языковой модели распознал мошенническое поведение прямо по содержимому страницы, не дожидаясь запуска вложенного файла. Такой ранний перехват важен: без взаимодействия с поддельной страницей вся последующая цепочка на устройстве не работает. Ресурс отнесли к категории мошеннических сайтов, впервые замеченных в момент обращения.
Инфраструктуру приманки и инфраструктуру доставки злоумышленники развели намеренно. Страница при нажатии кнопки обращалась к отдельному домену, который обслуживался средой выполнения серверного кода Cloudflare Workers. Именно этот узел возвращал браузеру архив в формате ZIP, и браузер автоматически сохранял его на диск. Разделение доменов усложняет обнаружение: проверка одного адреса ничего не говорит о втором. Хостинг на популярной облачной платформе добавляет схеме правдоподобия, ведь репутация самого сервиса подозрений не вызывает.
Внутри архива лежал единственный файл - приложение в формате HTA (HTML Application, файл-сценарий, который Windows запускает как обычную программу). При открытии система исполняла его встроенными средствами, и атака переходила с веб-уровня на уровень операционной системы. Внутри файла скрывался объёмный зашифрованный сценарий, который собирался и запускался уже во время работы. Постоянное декодирование на лету не даёт увидеть логику атаки при обычном просмотре кода и заметно затрудняет автоматический анализ.
Пока расшифрованный сценарий работал, на экране появлялось окно, стилизованное под программу Adobe Acrobat. Надписи упоминали открытие документа, проверку PDF и продление медицинской лицензии. Для установки удалённого доступа этот интерфейс не нужен. Он служит только отвлекающим фактором и поддерживает у жертвы ожидание, что перед ней медицинский документ, а не вредоносная программа.
Далее сценарий проверял, есть ли у него права администратора. Если прав не хватало, файл запускал себя заново с запросом повышения. Windows показывала стандартное окно контроля учётных записей (UAC), где требовалось подтвердить действие. Обхода этой защиты не было: злоумышленники прямо просили пользователя согласиться. Одно нажатие кнопки подтверждения открывало сценарию полный доступ к системе.
Получив права администратора, сценарий через системный реестр ослаблял настройки компонента SmartScreen, встроенной в Windows проверки репутации загружаемых файлов. Результат зависит от версии системы и корпоративных политик, но намерение очевидно: снизить сопротивление защитных механизмов перед установкой основного инструмента.
Затем сценарий скачивал установочный пакет ConnectWise ScreenConnect с постороннего сервера. Для загрузки использовались штатные средства Windows, причём один из вариантов игнорировал проверку цифрового сертификата, а на случай неудачи предусматривался запасной механизм. В адресе установщика содержались параметры, переводящие программу в режим постоянного доступа без участия пользователя. Сам продукт легален и широко применяется в корпоративной среде - незаконным его делает способ установки, без ведома владельца компьютера и в обход обычных процедур согласования.
Установка шла в полностью беззвучном режиме: привычное окно мастера не появлялось. Пока на экране открывался поддельный PDF-документ, который сценарий дополнительно помечал скрытым, клиент удалённого доступа уже работал в фоне. Жертва видела успешно открывшийся документ, а злоумышленник получал постоянный канал управления устройством и возможность вернуться на него в любой момент.
Значительная часть компонентов этой схемы по отдельности выглядит безобидно: облачный хостинг, встроенные средства Windows, коммерческая программа удалённого администрирования. Опасность проявляется только в связке, когда поддельная страница, поддельная проверка и тихая установка работают друг на друга. Для организаций разумная мера - ограничить запуск файлов-сценариев на рабочих местах и контролировать появление программ удалённого администрирования в корпоративной сети. Полезно также требовать двухфакторную аутентификацию для сотрудников и объяснять людям, что для скачивания обычного документа не требуется проходить нестандартные проверки безопасности.
Индикаторы компрометации
