В Германии несколько организаций столкнулись с ранее неизвестной вредоносной программой Sauron Loader. В публичных отчётах она до сих пор не появлялась. Пострадали компании из разных отраслей. Роль у неё вспомогательная: данные она не ворует и файлы не шифрует, а работает загрузчиком. Такая программа проникает в систему первой и доставляет туда остальные вредоносные компоненты. Продают её в подполье по модели Malware-as-a-Service (аренда вредоносного ПО), причём покупателей отбирают вручную.
Описание
Все разобранные случаи объединяет одно: атака начинается с обмана конкретного сотрудника, а не со взлома сервера. Применялись две схемы. Первая - поддельное окно с проверкой, которое просит выполнить простое действие, чтобы продолжить работу с сайтом. Вторая - голосовой фишинг (вишинг). Сначала жертву заваливают потоком спама. Потом ей звонит человек, который представляется сотрудником технической поддержки, и предлагает всё исправить. В обоих сценариях человек запускает вредоносный файл сам.
Раздражение и спешка подталкивают человека согласиться. Получив десятки писем, сотрудник охотнее принимает предложенную помощь. По данным DCSO, которая разбирала эти инциденты, во всех случаях последним этапом атаки становился именно Sauron Loader. В одном эпизоде злоумышленник убедил сотрудника запустить фирменную утилиту Microsoft для удалённого доступа к рабочему столу - и получил полный контроль над его компьютером. Похожие приёмы ранее применяли в кампаниях с DarkGate и в атаках группировок, связанных с Black Basta. Разработчик загрузчика при этом не обязательно связан с теми, кто проводил сами атаки.
В одном из случаев загрузчик пришёл внутри установочного пакета MSI. После запуска пакет распаковывал в служебную папку три файла. Первый - легитимная программа из набора Mozilla для работы с шифрованной почтой. Её присутствие нужно, чтобы система сама подгрузила рядом вредоносную библиотеку. Второй файл отвечает за расшифровку спрятанного кода и закрепление в системе. Он создаёт задание в планировщике, которое регулярно перезапускает загрузчик. Третий файл - сам загрузчик, основная логика которого хранится в зашифрованном виде.
Перед расшифровкой программа намеренно выдерживает паузу. Такой приём обходит автоматический анализ в изолированных средах: антивирусные песочницы ограничены по времени и часто не успевают дождаться, пока код проявит себя. Дальше загрузчик связывается с управляющим сервером, получает задания и скачивает полезную нагрузку. Файл можно забрать напрямую по ссылке или запросить у самого управляющего сервера - работают два независимых механизма доставки. Поддерживается широкий набор форматов: исполняемые файлы, динамические библиотеки (DLL), драйверы, установочные пакеты, архивы со вложенными программами, а также скрипты для командной строки, PowerShell, VBS и JavaScript. Отдельная команда делает снимок экрана - целиком или только основного монитора.
Связь с командно-контрольным сервером (C2-сервер) выстроена так, чтобы её было трудно отфильтровать. Адреса обращений генерируются заново при каждом сеансе, постоянного набора путей не существует. Содержимое запросов дополнительно шифруют и подписывают. На периметре виден лишь поток обычных защищённых соединений, ничем не выделяющийся на фоне рабочего трафика. При сбое связи программа переключается на следующий адрес из списка. В настройках изученного образца нашлись четыре адреса управляющих серверов. Там же заложены две проверки: одна определяет раскладку клавиатуры и регион жертвы, вторая ищет признаки государственной организации. Сохранились и метки, характерные для тестовой сборки, - сам инцидент при этом был вполне реальным.
Ограничения заложены и в правилах продажи. Разработчик под псевдонимом S4ur0n писал на подпольном форуме, что загрузчик предназначен только русскоязычным покупателям. Использовать его против госсектора или стран постсоветского пространства запрещено. Тот же принцип встречался в программах LockBit, Qilin, Cl0p и Medusa. Проверка на страны Содружества сама по себе ничего не доказывает. Но она устойчиво сопровождает вредоносное ПО, связанное с русскоязычным криминальным сообществом.
Схема с мнимой техподдержкой быстро становится массовой. По отчёту компании eSentire за 2026 год, число атак, где за потоком писем следует звонок от ложного айтишника, выросло за год на 1450 процентов. Успешность таких попыток достигает 72 процентов. Часть кампаний уже автоматизирована: переписку и звонки ведут программы, поэтому за то же время удаётся обработать больше жертв. Пока приём даёт результат и легко копируется, другие группировки будут его перенимать.
Для компаний это означает, что защита всё меньше зависит от технических средств на периметре. Письма приходят с настоящих адресов, звонки идут с обычных номеров, а сотрудник сам запускает нужную злоумышленнику программу. Помогают регулярные напоминания о том, что служба поддержки не просит устанавливать удалённый доступ по телефону. Полезно проверять такие запросы через отдельный канал связи, ограничивать права рядовых сотрудников и включать двухфакторную аутентификацию для административных учётных записей. Стоит также запретить запуск установочных пакетов и скриптов на рядовых рабочих местах: загрузчик активно ими пользуется. Незнакомые задания в планировщике задач - отдельный сигнал, поскольку закрепление через него встречается всё чаще.
Индикаторы компрометации
