Фишинговое вложение под видом списка закупочных образцов на сентябрь открывает злоумышленнику полный доступ к рабочему компьютеру. Сообщение приходит сотруднику отдела снабжения, логистики или бухгалтерии - тема письма выглядит привычной для этих подразделений. Файл похож на обычную таблицу, но система запускает его как программу. Один двойной щелчок, и на машине начинается цепочка, которая заканчивается кражей паролей и данных криптовалютных кошельков. Цель таких рассылок - тихий доступ к корпоративной сети, а не один документ.
Описание
Доставка построена на формате HTA (сценарий, который Windows выполняет как приложение). Внешне документ похож на страницу, внутри лежат зашифрованный блок данных и небольшой сценарий. Для получателя это обычное вложение размером около двух мегабайт: ни имя, ни объём подозрений не вызывают. Сценарий читает начало файла, расшифровывает скрытый архив и распаковывает его во временную папку. В архиве - единственный исполняемый файл, написанный на языке Rust. Код намеренно запутан: имена функций скрыты, строки расшифровываются по одной, логика разбита на разрозненные переходы. Разобрать такой файл вручную почти невозможно, а шаблоны поиска по известным образцам не совпадают.
Связь между приманкой и вредоносной программой разорвана. Запуск идёт не напрямую, а через короткий командный сценарий со случайным именем: он ждёт несколько секунд и только потом вызывает полезную нагрузку. Перед этим файл переименовывают в один из десятков типовых служебных процессов - обновление, служба, помощник, - и в списке запущенных задач он не выделяется. По данным Rising, расчёт сделан на то, что защитные средства отслеживают родительский процесс, а приманка закрывается задолго до старта трояна.
Необычнее всего выглядит закрепление в системе. Обычную задачу в планировщике злоумышленники не создают. Они обращаются к внутреннему механизму Windows, который хранит расписания в отдельной ветви реестра в двоичном виде. Имя задачи повторяет шаблон системных служебных записей, поэтому при беглом просмотре она не привлекает внимания. Стандартные утилиты и диспетчер задач такие записи не показывают, их нет в привычных перечнях. Копия трояна разрастается до ста мегабайт случайными данными. Размер и контрольная сумма меняются при каждом запуске, поэтому сверка с известными образцами не срабатывает.
Запуск оформлен как подключение к сети. Задача вызывает встроенную программу дозвона, которая читает подготовленный файл конфигурации. Там указан адрес локальной петли, поэтому соединение не устанавливается никогда, но перед его началом система выполняет команду из того же файла - она и запускает троян. Пользователь не видит ни окна, ни предупреждения. Для операционной системы всё выглядит как штатная работа системного компонента. Файл конфигурации остаётся на диске и переживает перезагрузку, поэтому задача срабатывает снова при каждом входе в систему.
Полезная нагрузка не сохраняется на диск: она загружается прямо в оперативную память. Исполняемый файл создаёт среду .NET (платформа Microsoft для запуска приложений), распаковывает вложенную сборку и передаёт ей управление. Внутри работает загрузчик: он расшифровывает и распаковывает финальный компонент, который держится в памяти до перезагрузки. Им оказался PureRAT, программа удалённого доступа.
Связь с управляющим сервером идёт по защищённому каналу с самоподписанным сертификатом, поэтому содержимое трафика не имеет узнаваемых признаков. Троян собирает сведения о процессоре, дисках, версии системы и установленных антивирусных продуктах, делает снимки экрана и проверяет наличие камеры. Отдельный модуль ищет сохранённые логины и пароли в Chrome, Edge, Brave, QQBrowser, а также данные криптовалютных кошельков: расширений MetaMask, TronLink, Binance Chain Wallet и локальных приложений Atomic Wallet, Electrum, Exodus. Для компании это обернётся утечкой учётных данных и потерей доверия клиентов, для сотрудника - прямыми финансовыми потерями.
Вся цепочка опирается на штатные компоненты системы: сценарий-приложение, командный файл, программу дозвона, внутренний планировщик. Привычных следов почти не остаётся. Приманка удаляет себя после запуска, копия трояна меняет размер, задача не попадает в стандартные перечни, а полезная нагрузка не касается диска. Восстановить картину помогают журналы поведенческого контроля: в них видно, как программа дозвона неожиданно порождает новый процесс.
Защита строится на нескольких правилах. Не открывайте вложения из неожиданных писем, особенно архивы под паролем. Установите антивирус и систему поведенческого контроля EDR (решение, которое следит за действиями программ на устройствах сотрудников). Своевременно закрывайте уязвимости в операционной системе и прикладном ПО, ограничивайте права рядовых пользователей и следите за необычными сетевыми обращениями системных служб.
Классические утилиты проверки автозапуска ищут задачи в привычных местах и не замечают записи в другой ветви реестра. Наблюдение за обращениями к скрытому планировщику, за вызовами программы дозвона и за быстро разросшимися копиями исполняемых файлов даёт шанс остановить атаку до кражи данных. Защитные продукты уже распознают образцы этой кампании.
Индикаторы компрометации
