Поддельные жалобы на повреждённый товар доставляли PureRAT и PureLogs в Японии и Корее

Темы писем выглядели бытово: "Доставленный товар повреждён", "Прошу организовать обмен или возврат", "Товар невозможно использовать из-за повреждения". Текст напоминал обращение покупателя к продавцу. В нём говорилось, что распаковка записана на видео, а фотографии повреждений загружены по ссылке из-за большого размера файлов. Письма приходили с середины июля до конца месяца. Часть сообщений была на японском языке, часть - на корейском. Отправители подписывались именами, распространёнными в этих странах.

Адреса отправителей и темы различались, но служебные заголовки совпадали. Обратный адрес для ответа указывал на посторонний почтовый ящик, не связанный с доменом отправителя. Идентификаторы рассылки повторялись от письма к письму, а разметка вложений выдавала одну и ту же библиотеку массовых отправок. Как показало исследование, сообщения уходили из общей инфраструктуры, а не от независимых авторов.

Страница, куда попадал получатель, имитировала сервис обмена документами. Она сообщала, что файл слишком велик для предпросмотра, и предлагала его скачать. Язык интерфейса зависел от адреса посетителя и языка браузера. Кнопки переключения были доступны на вьетнамском, английском, китайском, японском и корейском. Такое разнообразие намекает на широкую географию кампании - от Восточной до Юго-Восточной Азии. При открытии с телефона кнопка скачивания исчезала, а посетитель видел сообщение о невозможности загрузки на мобильном устройстве. В коде страниц остались комментарии на вьетнамском языке. Готовый архив лежал на стороннем сервисе обмена файлами. Часть ссылок вела на макет видеоплеера с поддельным предпросмотром. Некоторые страницы выглядели как плеер с обложкой видео и надписью о невозможности воспроизведения. Нажатие кнопки запускало подготовку файла на стороне сервера, после чего браузер переходил по новой ссылке и скачивал архив.

Содержимое архивов различалось, но схема повторялась. Внутри лежал исполняемый файл с двойным расширением, замаскированный под PDF-документ. На деле это подписанная корпорацией Microsoft программа Excel, и проверка подлинности её пропускала. Рядом находилась библиотека со скрытым атрибутом. Её размер достигал 75 мегабайт за счёт посторонних данных в конце файла. Такой приём рассчитан на антивирусы и песочницы, то есть изолированные среды для проверки подозрительных файлов. Многие из них не изучают объекты крупнее определённого размера. Библиотека несла внутри зашифрованные фрагменты вредоносного кода и собирала их в единое целое уже на заражённой машине. Иногда в набор добавляли интерпретатор Python или подписанный драйвер Lenovo. После запуска на экране появлялся отвлекающий документ - счёт за аренду виртуального сервера.

Полезная нагрузка оставалась одной и той же, а загрузчики отличались от образца к образцу. В первом варианте библиотека запускала интерпретатор Python и исполняла намеренно запутанный скрипт. Во втором применялся модифицированный инструмент Donut, превращающий обычные программы в код, который работает прямо в памяти. Заодно вредоносная программа закреплялась сразу несколькими способами: через планировщик задач, папку автозагрузки и ветку реестра. Третий вариант отключал встроенные средства Windows для проверки скриптов и ведения журнала событий, а ещё проверял, не запущен ли он в среде анализа. Четвёртый использовал подмену процесса и уязвимый драйвер Lenovo. Драйвер получал номера процессов защитных продуктов и принудительно их завершал с системными правами.

После закрепления PureRAT связывался с управляющим сервером и передавал сведения о заражённой машине. Среди них - название установленного защитного продукта, наличие веб-камеры, версия системы, имя пользователя и снимок экрана. Дальше программа забирала сохранённые данные из браузеров, криптовалютных кошельков и мессенджеров. В списке целей - Chrome, Brave, Edge, Vivaldi, популярные биткоин- и эфириум-кошельки, а также Telegram Desktop и Foxmail. Второе семейство, PureLogs, работало по схожему сценарию: собирало профили браузеров, данные мессенджера Discord и результаты поиска файлов на диске, после чего отправляло их на сервер. Оба семейства входят в группу Pure, которую злоумышленники используют для кражи данных.

Смена загрузчика при неизменной полезной нагрузке ломает обнаружение по цифровым отпечаткам файлов. Защита, построенная только на сравнении с известными образцами, пропустит часть заражений. Надёжнее выглядят решения, которые следят за поведением программ: массовым обращением к хранилищам паролей, запуском интерпретаторов из временных папок, попытками отключить системные средства контроля. Кампания не остановилась на одном варианте: загрузчики менялись на протяжении нескольких недель. Письма о повреждённом товаре со ссылкой на внешний файлообменник - повод проверить отправителя и не открывать вложение. Регулярные обновления системы, двухфакторная аутентификация и ограничение прав рядовых сотрудников снижают ущерб, если запуск всё же состоялся.