Официальный сайт программы для приватного обмена сообщениями, рассчитанной на китайских пользователей, отдавал подменённый установщик. Вместо штатной сборки человек получал файл, который вместе с обычной установкой запускал цепочку загрузки. В память попадал загрузчик SNOWLIGHT, а конечным звеном становился туннель nps, изменённый для скрытого управления. Для пострадавших это обернулось устойчивым каналом доступа к машине и внутренней сети.
Описание
По данным Qianxin Threat Intelligence Center, за подменой стоит группа Red Raindrop Team. Инцидент исследователи связывают с активностью, которую ранее описывали как работу UNC5174. Загрузчик SNOWLIGHT они фиксировали ещё в 2024 году - в цепочке после инцидента с CSDN, где он запускал Vshell. Тогда детали не публиковали. Отдельная публикация Operation Run, посвящённая этой деятельности, вышла в 2025 году. Сам загрузчик работает на Windows и Linux и умеет ходить через несколько распространённых протоколов, включая шифрованные.
В случае с цепочкой поставки вредоносный установщик после запуска читал файл конфигурации и расшифровывал его в памяти. Оттуда он получал четырёхкилобайтный shellcode SNOWLIGHT - небольшой фрагмент кода, который перехватывает управление. Дальше загрузчик подключался к узлу управления и скачивал следующие компоненты. Среди них и оказывался модифицированный туннель nps.
На Windows закрепление начинается с компрометации пограничных серверов. Входом служат подбор паролей SQL Server и эксплуатация уязвимостей веб-компонентов. После этого злоумышленники загружают BAT-скрипт: он скачивает Golang- или C++-версию SNOWLIGHT. В начале 2026 года в одной медиакомпании они создали несколько узлов SNOWLIGHT в серверном сегменте через обратные прокси. При горизонтальном перемещении они запрашивали у внутренних узлов BAT-файлы для загрузки.
Дальше загрузчик приносит набор инструментов: кражу данных из браузера, сканирование внутренней сети, повышение привилегий и извлечение учётных данных. В памяти запускался и открытый SharpHunter - он собирает сведения с рабочей станции. Для закрепления создавалась задача с именем, маскирующимся под службу браузера безопасности. Запуск шёл через планировщик заданий Windows, то есть штатный механизм системы.
Отдельный вектор - фишинг с LNK-файлом, замаскированным под PDF. При открытии он запускал rundll32 и подгружал исполняемый файл из вложенного каталога. Доставка шла и через поддельные сайты приватных IM-сервисов, а часть активности могла быть связана с игорным бизнесом. На Linux целились в серверы с искусственным интеллектом: входом служили подбор паролей и уязвимости, после чего запускался обратный shell и загружался bash-скрипт SNOWLIGHT. Скрипт скачивал ELF-версию загрузчика.
Помимо загрузчика, в атаке применялись модифицированный nps-туннель и утилиты для сбора данных. Исследователи подчёркивают, что набор инструментов не новый, а необычность цепочки - в способе доставки через официальный сайт и именно подмене установщика.
Сколько организаций пострадало и как долго работала инфраструктура, не сообщается. Не раскрыты и детали того, когда именно подмена появилась на сайте и сколько продлилась. Связь с UNC5174 исследователи описывают как совпадение по инструментам и инфраструктуре, а не как подтверждённое авторство. Вывод об атрибуции опирается на пересечение цепочки и набора утилит, и этой оговорки в публикации достаточно, чтобы считать атрибуцию рабочей версией.
Индикаторы компрометации
