Группа исследователей кибербезопасности Securonix обнаружила новую скрытую кампанию под названием SERPENTINE#CLOUD, в рамках которой злоумышленники используют файлы ярлыков (.lnk) для доставки вредоносных нагрузок через инфраструктуру Cloudflare Tunnels. Конечная цель атаки - выполнение в памяти системы Python-загрузчика, который запускает упакованные с помощью Donut вредоносные модули.
Описание
Атака начинается с фишинговых писем, в которых жертвам предлагается скачать ZIP-архив, замаскированный под документ, например, счет или накладную. Внутри архива находится .lnk-файл, который при запуске незаметно загружает и выполняет вредоносный код с удаленного сервера через WebDAV, используя поддомены trycloudflare[.]com. Этот метод позволяет злоумышленникам оставаться анонимными, так как Cloudflare скрывает реальный IP-адрес сервера, а легитимность домена не вызывает подозрений у систем мониторинга.
Исследователи отмечают, что злоумышленники демонстрируют высокий уровень профессионализма, постепенно совершенствуя методы начального заражения. В более ранних версиях кампании использовались .url-файлы и простые .bat-скрипты, но со временем авторы перешли на более сложные .lnk-файлы, которые сложнее обнаружить. Эти файлы имитируют PDF-документы и используют cmd.exe для скрытой загрузки следующих этапов атаки.
После выполнения .lnk-файла запускается цепочка из нескольких скриптов: сначала загружается WSF-файл, затем - обфусцированный batch-скрипт, который, в свою очередь, скачивает и запускает Python-модули. Один из ключевых файлов, kiki.bat, использует сложные методы обфускации, включая кодировку UTF-16LE и динамическое построение команд через переменные.
Основная нагрузка доставляется в виде ZIP-архива, содержащего Python-библиотеки и вредоносные скрипты. Они выполняют шифрованный shellcode в памяти с помощью техники Early Bird APC Injection, внедряя его в легитимные процессы, такие как notepad.exe. Для этого злоумышленники используют Donut - инструмент для загрузки PE-файлов прямо в память, что позволяет избежать записи на диск.
Для обеспечения персистентности вредонос добавляет свои скрипты в автозагрузку Windows через папку Startup. Также был обнаружен VBS-скрипт, который имитирует активность пользователя, периодически отправляя нажатия клавиш, чтобы система не переходила в спящий режим.
Анализ сетевой активности показал, что зараженные системы связываются с доменами, зарегистрированными через DuckDNS, а также с IP-адресами в Европе. Исследователи предполагают, что конечная цель атак - установка RAT (Remote Access Trojan), такого как AsyncRAT или RevengeRAT, который дает злоумышленникам полный контроль над системой.
SERPENTINE#CLOUD демонстрирует, насколько сложными и многослойными стали современные кибератаки. Использование легальных сервисов, таких как Cloudflare, сложная обфускация и методы работы исключительно в памяти делают эту кампанию особенно опасной. Организациям рекомендуется усилить мониторинг подозрительной активности, связанной с WebDAV и необычными Python-процессами, а также обучать сотрудников распознаванию фишинговых атак.
Индикаторы компрометации
