Атака на продавцов интернет-магазинов и сотрудников торговых площадок ведётся через деловую переписку. Злоумышленники представляются закупщиками, просят прислать коммерческое предложение, а затем отправляют архив с вложением. Внутри лежит файл, который выглядит как сентябрьский список образцов, прайс-лист или материалы для сверки. Получатель открывает вложение, и на его компьютере незаметно запускается программа удалённого доступа PureRAT - инструмент постоянного контроля над чужой машиной. Всплеск активности совпал с подготовкой к праздникам и осенним распродажам, когда поток таких писем резко растёт.
Описание
Распространяют вложения по разным каналам: через внешние социальные сети, личные сообщения, электронную почту и запросы от незнакомых партнёров. Тематика всегда деловая - закупка, счёт, образцы, условия поставки. Обман рассчитан на скорость реакции. Продавец ждёт документы от нового клиента и открывает архив, не проверяя отправителя.
Вложение относится к формату HTA - это HTML-приложение, которое Windows запускает почти как обычную программу. Сразу после открытия скрипт скрывает собственное окно, чтобы пользователь не увидел служебных сообщений. Затем он извлекает из себя зашифрованные данные под видом обычного архива, восстанавливает исполняемый файл и присваивает ему случайное имя из заранее заготовленного списка. Небольшой командный файл запускает результат.
Дальше начинается многоступенчатая маскировка, которую подробно разобрали в Huorong Security Lab. Вредоносная программа создаёт папку, по названию напоминающую системный компонент поиска Windows, и копирует себя туда. Копия дополняется случайными данными, поэтому размер и цифровой отпечаток каждого экземпляра отличаются. Приём усложняет облачную проверку файлов. Для запуска привлекаются штатные средства системы: временное задание в планировщике и настройки подключений, которые через системный загрузчик вызывают уже перемещённую копию.
В памяти новой копии программа правит компонент, отвечающий за антивирусную проверку скриптов, и снимает его защиту. Вслед за этим загружается промежуточный модуль, а он извлекает следующую ступень. Окна не появляются, следов на диске почти не остаётся. Пользователь в этот момент видит только обычный рабочий стол.
Полезная нагрузка спрятана во встроенном ресурсе, который зашифрован и сжат. Модуль последовательно снимает шифрование и упаковку, а затем запускает код прямо в памяти, не сохраняя его в виде файла. Финальный образец оказался PureRAT версии 4.4.1. На версию указывает строка в коде, на авторство - встроенный цифровой сертификат с именем агента PureRAT. Программа открывает защищённый канал связи с командно-контрольным сервером и обменивается с ним структурированными сообщениями. После подключения она отправляет оператору сведения о заражённой машине и ждёт команд.
Возможности PureRAT выходят далеко за рамки наблюдения. Программа собирает данные о процессоре, дисках, объёме памяти, версии операционной системы, правах пользователя и установленных средствах защиты. Она определяет наличие камеры, делает снимки экрана и тайком копирует содержимое браузеров на движке Chromium: Chrome, Edge, Brave, Vivaldi, QQBrowser. Отдельный интерес вызывают криптовалютные кошельки. Злоумышленники ищут расширения MetaMask, TronLink, Coinbase Wallet, Trust Wallet, Phantom и Ronin, а также данные десктопных приложений Atomic Wallet, Electrum, Exodus, Ledger Live и переписку в Telegram Desktop и Foxmail.
Для закрепления в системе программа раз в пять минут перезапускает скрытую команду через планировщик заданий. Даже если пользователь закроет процесс, тот вернётся. Дополнительные модули подгружаются с сервера управления прямо в память, поэтому набор функций можно расширять на ходу. Всё вместе даёт устойчивый контроль над рабочим компьютером и постоянный доступ к конфиденциальным сведениям.
Для продавцов маркетплейсов риски особенно высоки. На рабочих машинах хранятся доступы к личным кабинетам, базы клиентов, данные о расчётах и ключи от криптовалютных кошельков. Утечка или блокировка таких данных останавливает торговлю на дни. Потеря средств с цифровых кошельков почти всегда необратима, поскольку транзакции нельзя отменить. Закупочная тематика писем снижает бдительность: получатель ждёт документы от нового партнёра и редко проверяет отправителя.
Защита начинается с простого правила: не открывать вложения от незнакомых контрагентов, пришедшие вне официальных каналов площадки. Архивы с прайс-листами и списками образцов стоит проверять в изолированной среде. На рабочих компьютерах не нужно хранить пароли в открытом виде, фразы восстановления и закрытые ключи кошельков. Не лишним будет регулярное обновление средств защиты и полная проверка системы. Подозрительные признаки - системная утилита дозвона, запускающая постороннюю программу, или незнакомый процесс, который каждые несколько минут создаёт задания, - требуют немедленного отключения от сети и разбирательства.
Производитель средства защиты уже добавил реакцию на эту цепочку в свои продукты, поэтому обновлённые базы блокируют запуск вредоносных файлов. Сама схема показывает, насколько дешёвым и результативным остаётся обман через деловую переписку. Пока продавцы торопятся ответить на запрос незнакомца, атакующие получают доступ к рабочим машинам и цифровым активам бизнеса.
Индикаторы компрометации
