Вредоносные программы, получившие названия OctLurk и SilkLurk, поражают государственные учреждения в Афганистане, Кыргызстане, Таджикистане, Узбекистане, Казахстане и Сирии. Под удар попали организации из сфер здравоохранения, научных исследований, государственного управления, министерств иностранных дел, логистики, правоохранительных органов, городского планирования и образования. Оба бэкдора используют загрузчики, настроенные под каждую конкретную жертву. Чтобы расшифровать полезную нагрузку, вредоносная программа обращается к данным, уникальным для заражённой машины, - например, к серийному номеру жёсткого диска или имени компьютера. Такой подход серьёзно усложняет анализ и обнаружение угрозы.
Описание
После внедрения OctLurk и SilkLurk способны загружать и выполнять дополнительные модули, расширяющие их функциональность. Среди возможностей - удалённый доступ к командной строке, управление файловой системой, имитация нажатий клавиш и движений мыши, сканирование сети, сбор учётных данных, перехват нажатий клавиш, кража паролей из браузеров, извлечение электронной почты и удалённое управление экраном. Кроме того, злоумышленники развернули специализированную утилиту LurkProxy, которая служит обратным прокси-сервером для скрытого перенаправления трафика между атакующими и скомпрометированными системами. Её архитектура близка к OctLurk, но она не является полноценным бэкдором.
Как показал анализ, проведённый специалистами по кибербезопасности, OctLurk и SilkLurk управляются одной и той же группой. Часть жертв, заражённых SilkLurk, также содержали OctLurk, что указывает на одновременное использование обеих программ. Исследователи с умеренной уверенностью связывают эти инструменты с китайскоязычным злоумышленником, однако на данный момент не удалось отнести атаки ни к одной известной хакерской группировке.
Для закрепления в системе OctLurk создаёт службу или задачу в планировщике Windows с именем вроде GoogleUpDate, которая запускает скрипт, загружающий вредоносную библиотеку. Сама полезная нагрузка расшифровывается с помощью двойного XOR-преобразования и сжатия zlib. OctLurk связывается с командно-контрольным сервером (C2-сервером) по протоколу HTTPS и передаёт данные о системе, зашифрованные с помощью статического ключа и случайной последовательности байтов. Полученные от C2-сервера команды также расшифровываются двойным XOR и декомпрессируются, после чего выполняется соответствующее действие - запуск командной оболочки, установка плагина или другая операция.
SilkLurk, в свою очередь, использует технику подмены легитимных исполняемых файлов - например, утилит NVIDIA или Realtek - для загрузки своей вредоносной библиотеки. Его загрузчик проверяет, что запущен внутри легитимного процесса, затем перемещает payload-файл в заданный каталог и создаёт сервис для сохранения присутствия в системе. Расшифровка полезной нагрузки зависит от контрольной суммы имени компьютера жертвы, что делает каждый экземпляр SilkLurk уникальным. Бэкдор подключается к C2-серверу, при возможности используя прокси, и генерирует сетевой ключ для шифрования последующего трафика. После передачи ключа он отправляет на сервер сведения о заражённой машине и ожидает команд, которые могут включать загрузку дополнительных плагинов или изменение конфигурации.
В рамках посткомпромиссной активности атакующие с помощью OctLurk запускали скрипты для сбора подробной информации о системе: данные об оборудовании, сетевых подключениях, установленном антивирусе, версии PowerShell и состоянии защиты Microsoft Defender. Они также использовали инструмент для извлечения хешей паролей из контроллеров домена, устанавливали кейлоггер, который сохранял нажатия клавиш в файлы, и применяли утилиту для кражи паролей из браузеров Chrome и Firefox. Для удалённого доступа и мониторинга применялся легальный Pandora RC agent, а для сканирования внутренней сети - инструмент Fscan, способный обнаруживать уязвимые сервисы и пытаться подобрать к ним пароли.
SilkLurk применялся для запуска PowerShell и подключения к сетевым ресурсам с административными правами. Атакующие искали конфиденциальные документы на общих дисках, архивировали их с помощью WinRAR или 7-Zip и выгружали. Для заметания следов после завершения они отключались от сетевой папки. В одном из инцидентов SilkLurk был использован для доставки известного вредоносного ПО PlugX, которое исторически связывают с китайскоязычными группами. PlugX был настроен на связь с C2-доменом, схожим с доменом SilkLurk, что дополнительно подтверждает связь между инструментами.
Инфраструктура атакующих опирается на виртуальные частные серверы. Некоторые адреса C2-серверов OctLurk и LurkProxy ранее фиксировались в отчётах казахстанской Службы технической защиты, касающихся кампании против критической инфраструктуры Казахстана в марте 2025 года. В той кампании применялся бэкдор TrustFall для Linux, и обнаружено пересечение C2-адресов, что говорит о возможном использовании общей инфраструктуры для атак на разные операционные системы. Однако остаётся неясным, проводились ли эти атаки одновременно или в разное время.
Возникновение многоплагинного фреймворка OctLurk и SilkLurk демонстрирует, как злоумышленники совершенствуют методы ухода от обнаружения. Оперируя преимущественно в памяти и оставляя на диске лишь минималистичный загрузчик, который зависит от уникальных характеристик машины, они существенно затрудняют обратную разработку и автоматическое выявление угроз. Параллельно атакующие создают резервные каналы доступа, собирают учётные данные и используют легитимные инструменты для удалённого управления, что позволяет сохранять контроль даже после обнаружения первоначального вектора заражения.
Индикаторы компрометации
