Поддельное письмо о подписании документов установило легитимный агент Zecurit

Внешне сообщение копировало служебную переписку. Видимый адрес отправителя не имел отношения к сервису подписи, а внутри злоумышленники вставили якобы пересланную переписку из Gmail. Метка времени в этой пересылке оказалась примерно на 19 минут позже фактического получения письма. Так создавалась видимость живого обсуждения подписи. Отправка шла через облачную почтовую службу Amazon, поэтому проверки подлинности отправителя для этой инфраструктуры прошли успешно. Проверка DMARC (правило, по которому почтовый сервис решает, доверять ли домену отправителя) для видимого домена результата не дала, однако письмо всё равно получило низкий уровень спама. Само прохождение проверок не подтверждает ни существование документа, ни деловые отношения отправителя с получателем. Арендованные облачные рассылки с хорошей репутацией стали удобным прикрытием для таких кампаний.

По данным ZeroBEC и Proofpoint Emerging Threats, интерес защитников к Zecurit возник раньше этой доставки. 15 сентября вышли сетевые сигнатуры для домена производителя, 17 сентября список дополнили правилами регистрации агента и управляющего трафика. 21 сентября исследователь под ником VM описал похожую доставку Zecurit под видом обновления Zoom. Общими у двух случаев остаются только сам инструмент и сертификат подписи. Домены, темы писем и хеши файлов различаются. Приписать активность конкретной группировке не удалось.

После клика человек попадал на страницы под брендом DocuSign. Сначала ему показывали имитацию проверки Cloudflare с просьбой подтвердить, что действие выполняет человек. Затем открывалась более сложная страница с тем же брендом и размытым предпросмотром документа. Скрипты собирали сведения о браузере, но проверка носила показной характер. Вычислительная задача не запускалась, а при сбое связи страница ставила отметку об успехе и продолжала работу. Автоматическому анализу мешало другое: требование выполнить код в браузере и сохранить сессию. В адресной строке подменялись параметры, чтобы скрыть исходный маршрут. Страницы при этом закрывались от поисковых систем, чтобы не попадать в отчёты. Через несколько секунд браузер сам предлагал скачать исполняемый файл.

Доставка через доверенные сервисы снижает заметность атаки. Установщик подписан сертификатом реального производителя, поэтому системы контроля приложений пропускают его чаще, чем самодельную вредоносную программу. Пользователь видит знакомый бренд и привычный сценарий, а не предупреждение о подозрительном файле. Опасность складывается из последовательности шагов, каждый из которых по отдельности выглядит объяснимо.

Скачанный файл объёмом около 22 мегабайт честно назывался "Zecurit Agent Setup". Его подпись принадлежала компании Zecurit Technologies и имела отметку от 2 сентября 2026 года. Проверка подтвердила, что установщик прошёл официальный процесс подписи вендора. Это меняет подход к файлу, но не отменяет проверки. Подпись доказывает происхождение программы, а не согласие получателя на установку и не принадлежность пространства клиента его службе поддержки. Производитель к рассылке отношения не имеет: его программу используют как чужой инструмент.

После подключения агент сразу запускает полное сканирование устройства. Он собирает сведения об оборудовании, установленном программном обеспечении, сертификатах, дисках, гарантии и местоположении. Для администратора это обычная инвентаризация, для злоумышленника - быстрый способ оценить машину. В настройках найден токен регистрации устройства, который привязывает его к чужому пространству внутри облачного сервиса. Значение токена не раскрывают, поскольку оно даёт право на подключение. Масштаб ущерба зависит от команд, которые оператор успел отдать через этот канал.

Связь между кампанией под DocuSign и Zoom-случаем подтверждена только на уровне инструмента и сертификата. Общий оператор, набор фишинговых шаблонов и инфраструктура не установлены.

Организациям стоит вести перечень разрешённых средств удалённого управления и следить за установкой любых других. Полезно фиксировать неожиданные подключения к серверам производителя с рабочих машин и сверять их с этим перечнем. Если установка подтвердилась, машину изолируют, сохраняют журналы и настройки агента, выясняют, к какому пространству клиента подключилось устройство, отзывают доступ и меняют пароли, действовавшие во время инцидента. Двухфакторная аутентификация и просмотр журналов команд ограничивают последствия.

Собирать атаку из доверенных сервисов стало обычной практикой. Подлинная облачная рассылка, знакомый сценарий подписания, имитация проверки браузера и подписанный установщик по отдельности выглядят нормально. Риск проявляется в последовательности, и отслеживать приходится именно её.