Shadow HVNC: стилер со скрытым рабочим столом и нерабочей слежкой за банковскими сессиями

Shadow HVNC принадлежит к классу стилеров, то есть программ для скрытого хищения данных. Такие программы не шифруют файлы и не требуют выкупа. Их цель - активные сессии, сохранённые логины, ключи доступа и резервные коды двухфакторной аутентификации. Ядро комплекса - скрытое удалённое управление рабочим столом: оператор получает невидимое пользователю рабочее пространство на заражённой машине. В этом пространстве он открывает браузер с профилем жертвы и работает в уже авторизованных сессиях, не вводя ни пароля, ни кода подтверждения.

Как показал разбор последней сборки, программа написана на языке Go и весит около 16 мегабайт. Упаковщика и обфускации нет: имена внутренних функций, служебные строки и адрес управляющего сервера лежат в файле открытым текстом. Внутри нашлись и список банковских доменов из шести тысяч строк с собственным заголовком, и рабочие каталоги разработчика, и более тысячи неудалённых имён символов. Реклама утверждает, что открытого текста в сборке нет. На деле покупателю продают заготовку, которую он должен сам пропустить через сторонний упаковщик.

Закрепление в системе построено как цепочка независимых слоёв. Сначала копия программы переезжает в служебную папку пользовательских данных. Затем регистрируется служба с безобидным именем вроде драйвера мыши. Если прав администратора нет, в дело идут четыре обходных пути: ключ автозапуска в реестре, сценарий входа, ярлык в папке автозагрузки и три задачи планировщика, одна из которых перезапускает программу каждые пять минут. Когда не срабатывает ни один способ, программа продолжает работу без закрепления и просто ждёт следующей загрузки.

Рядом постоянно работает вспомогательный модуль наблюдения. Он выдает себя за системный процесс, следит за основным файлом и запускает его заново после удаления. Собственное закрепление модуля включает подписку на системное событие, которое каждые тридцать секунд запускает полезную нагрузку. Отдельная линия - кража учётных данных. Встроенная утилита размером около 16 килобайт считывает память системного процесса проверки подлинности напрямую, обходя перехваты системных вызовов, и сохраняет слепок для разбора уже на стороне злоумышленника. К обычным системным библиотекам она не обращается, поэтому заметить её сложнее.

Скрытое пространство устроено просто. Программа создаёт отдельный рабочий стол, невидимый для пользователя, и запускает на нём браузер. Поскольку браузер разрешает работать с профилем только одному процессу, программа сначала закрывает окно жертвы, а затем удерживает профиль за собой. Со стороны это выглядит как браузер, который сам закрывается и отказывается открываться снова.

Слежка за банковскими сессиями заслуживает отдельного упоминания из-за собственной ошибки. В комплект встроен список из 6040 доменов: банки США, кредитные союзы, платёжные сервисы, криптовалютные площадки и игровые магазины. Для перехвата используется штатный механизм трассировки системных событий, но подписка оформлена с опечаткой в одном разряде маски. Из-за этого до обработчика не доходит ни одно событие. Работает только запасной механизм: раз в пятнадцать секунд программа просматривает заголовки открытых окон и ищет в них название банка. Совпадение запускает запись экрана и отправку ролика оператору.

Заметная деталь - география. Тринадцать стран внесены в стоп-лист, и двенадцать из них покрывают Россию и государства СНГ. Тринадцатой оказалась ЮАР, что выбивается из логики "не заражать соседей по региону" и указывает скорее на оценку платёжеспособности жертв. Параллельно с основным продуктом продаётся загрузчик, переписанный на Rust. Он получает задания от панели управления, проверяет целостность скачиваемых файлов и держит постоянный канал связи. Отдельная его функция - самопроверка: загрузчик сам выясняет, срабатывала ли на нём защита и как управляется машина, чтобы оператор понимал, насколько "засвечена" конкретная установка.

Часть кампаний с этим загрузчиком ведёт злоумышленник из Вьетнама, известный под псевдонимом fishns. Рассылки идут от имени крупных платформ и обещают уведомления о нарушении авторских прав. Главное отличие от прежних волн - способ подготовки. Шаблоны писем массово создают с помощью ИИ-ассистента для программирования: за одну сессию появились 25 уведомлений на итальянском языке с корректными юридическими ссылками и даже с учётом местного графика отправки. Готовятся варианты для США, Южной Кореи, Японии, Италии, Испании, Дании и Гонконга. Получателями значатся администраторы деловых страниц: в одной партии для Кореи в очереди стояло 28 079 адресов. Панель рассылки ведёт учёт отправки и прочтения по каждому адресату.

Для организации последствия заражения измеряются не простоем, а потерей контроля над учётными записями. Украденные сессии позволяют войти в почту, банк и корпоративные системы без пароля и без второго фактора. Базовые меры остаются прежними: своевременные обновления, аппаратные ключи вместо СМС-кодов, контроль за автозапуском и проверка профилей браузеров на посторонние копии файлов. Особого внимания требуют учётные записи администраторов домена, поскольку один найденный пароль из групповых политик открывает доступ к десяткам машин сразу.