Индийские организации получают письма с темой налоговой проверки. Внутри - вложение, которое выглядит как официальное уведомление налоговой службы. Открыв его, пользователь запускает цепочку из нескольких этапов. Часть шагов рассчитана на системы защиты Windows, часть - на самого человека. Кластер получил рабочее обозначение PAPERMILL.
Описание
Письмо проходит стандартные проверки подлинности отправителя, поэтому почтовые фильтры не помечают его как подделку. Дальше в работу вступает вложение. Формально это образ диска с расширением .img, хотя внутри лежит обычный оптический образ. Смысл подмены простой. Скачанный из интернета архив Windows помечает как небезопасный и предупреждает пользователя. Файлы внутри смонтированного образа такой пометки не получают. Система считает их локальными и доверенными, поэтому предупреждения о загрузке из сети не срабатывают. Образ собран программно, скриптом на Python, а не в программе для записи дисков, - на это указывают стандартные пустые поля служебного описателя.
При монтировании внутри оказываются ровно три файла: исполняемый с именем налогового уведомления, динамическая библиотека (файл с кодом, который программа подгружает во время работы) и файл данных с расширением .dat. Исполняемый файл - подлинная программа Notepad++, подписанная цифровым сертификатом разработчика. Злоумышленники не меняли её ни на байт, они просто переименовали текстовый редактор и использовали как запускающую оболочку. Сам редактор безвреден, но при старте он подгружает сетевую библиотеку из собственной папки. Рядом лежит поддельная версия этой библиотеки, и доверие к подписи одной программы фактически прикрывает чужой код.
Исследование JUMPSEC показало, что подменённая библиотека выдаёт наружу ровно те функции, которые запрашивает редактор, и ничего сверх этого. Программа спокойно запускается, работает как обычно, а код злоумышленника выполняется параллельно. Внутреннее устройство файла дополнительно запутано: служебные области названы так, чтобы автоматические анализаторы искали код не в тех местах. Часть из них вообще не содержит того, что обещает название. Такой подход встречается редко: массовые загрузчики обычно не тратят силы на борьбу с аналитиком. Здесь автор явно готовился к внимательному разбору.
После запуска начинается борьба за права администратора. Если их нет, программа перезапускает себя с запросом на повышение и повторяет запрос в цикле, пока пользователь не согласится. Затем она закрепляется в системе через автозагрузку. Перед основными действиями идёт проверка, не работает ли она в исследовательской среде: число ядер процессора, объём оперативной памяти, свободное место на диске, время работы системы, движение курсора, разрешение экрана, последняя активность пользователя. Если условия не выполняются, программа не завершается - это выглядело бы подозрительно. Вместо этого она засыпает на пять минут и продолжает работу. Автоматические песочницы (изолированные среды для безопасного запуска) обычно анализируют образец меньше времени, поэтому образец выглядит безобидным.
Дальше вложенные данные проходят несколько этапов преобразования: перемешивание блоков, подстановку и шифрование с ключом. Внутри обнаруживается промежуточный загрузчик, умеющий запускать код прямо в памяти, без записи на диск. За ним скрывается программа удалённого доступа VenomRAT версии 6.0.3, собранная публичным конструктором. Её возможности широки: скрытое управление рабочим столом жертвы, сбор паролей и данных из браузеров, кража файлов. Отдельная деталь - защита от снятия процесса: попытка завершить его приводит к аварийному завершению всей системы. Настройки обхода защиты и закрепления в конфигурации отключены. Их уже отработал загрузчик, поэтому финальной программе остаётся только связь с сервером управления и сбор данных.
Сервер управления размещён на китайской площадке. Тот же адрес обслуживал китайские сайты с 2021 года. Конструктор вредоносной программы тоже китайского происхождения, а его сертификат ранее встречался в финансовом фишинговом письме на китайском языке. По этому сертификату нашлись другие образы с похожими именами, созданные в тот же день, а также образец 2023 года с типично китайским текстом вложения. Все контрольные точки инфраструктуры указывают на китайскую языковую среду.
Картина близка к деятельности Silver Fox (также известной как SwimSnake, UTG-Q-1000, Void Arachne) - финансово мотивированной группы, работающей с 2022 года. Её индийские кампании используют ту же тему налоговой проверки. Однако конкретные инструменты не совпадают: другой хост для подмены библиотеки, другой загрузчик, другая финальная программа, другой контейнер. В 2025 году в Китае задержали 67 участников группировки, и смена набора инструментов выглядит логичной после таких потерь. Доказательств для уверенного указания на конкретных исполнителей нет, поэтому кластер получил отдельное имя PAPERMILL. Значительная часть этапов собрана из готовых конструкторов: злоумышленникам достаточно штамповать новые полезные нагрузки под новые рассылки.
Показательна и метка времени. Даты создания контейнера и библиотеки совпали с точностью до секунды, а часть уникальных признаков относится только к конкретной загрузке. Иными словами, образ собирают под каждого получателя отдельно, и типовой набор индикаторов для проверки инфраструктуры здесь не работает. Компаниям стоит блокировать образы дисков во вложениях и объяснять сотрудникам, что налоговые уведомления не приходят исполняемыми файлами. Подпись разработчика на программе не гарантирует безопасность всей папки, из которой она запускается. Регулярные обновления, двухфакторная аутентификация и ограничение прав обычных пользователей снижают ущерб, если запуск всё же состоялся.
Индикаторы компрометации
