ShadowPane: поддельное окно Adobe ведёт к установке средств удалённого доступа

Схема начинается с намеренно неприметного письма. Сообщение приходит с настоящего рабочего аккаунта, который злоумышленники предварительно взломали. Формулировка короткая и деловая. Тон не создаёт паники и вписывается в обычный рабочий день. Ссылку дополнительно оборачивает защитный сервис почтового шлюза. На первом уровне проверки всё выглядит благополучно: отправитель реальный, обёртка реальная, просьба обычная. После перехода браузер оказывается на взломанном стороннем сайте.

Ключевой приём кампании - поддельное окно браузера внутри настоящего. По данным ZeroBEC, после первого клика страница рисует второе окно с адресной строкой, где указан подлинный домен Adobe. Второго окна не существует, это лишь разметка внутри вредоносной страницы. Адресная строка нарисована, поэтому доверие к знакомому бренду ничего не гарантирует. Одновременно начинается загрузка установщика, которым управляет атакующий. Раньше такой приём применяли для кражи паролей. Теперь его используют для доставки программ.

Поддельная страница подстраивается под жертву. Она определяет браузер и операционную систему. Учитывается даже светлая или тёмная тема оформления. Кнопки закрытия, сворачивания и перетаскивания работают как настоящие. Копирование текста, вызов контекстного меню и горячие клавиши для просмотра кода отключены. Так авторы мешают автоматическим системам и аналитикам увидеть тот же экран, что и реальный посетитель.

Сведения о посетителе уходят в Telegram. Страница собирает адрес подключения, страну, город, часовой пояс, провайдера, язык, разрешение экрана и характеристики устройства. Данные приходят в закрытые чаты через ботов. По этим каналам разрозненные случаи связываются в единую кампанию.

Вредоносная нагрузка здесь - легальные программы удалённого мониторинга и управления. Такие решения используют системные администраторы. Злоумышленники по очереди задействуют OpsBridge, ScreenConnect, MSP360, LogMeIn и BlueTrait. Первый агент появляется после установки, следом идёт попытка внедрить второй. Иногда она не срабатывает с первой попытки, и тогда файл скачивают заново и запускают вручную. После закрепления на машину переносят утилиту, скрывающую программу из списка установленных приложений. Сотрудник или служба поддержки может просто не заметить лишнее приложение.

Расширение поиска вывело на экосистему Frostedwrist. Публичные каналы этой группы рекламируют рассылку через почтовые серверы и чужие ящики, шаблоны писем, подставные ссылки и извлечение контактов. Один из ботов, собиравших данные о посетителях, оказался связан с аккаунтом frostedwrist. Совпадение подкрепляется схожим набором возможностей и временем активности.

Цели указывают на сделки с недвижимостью. Frostedwrist регулярно обращается к теме эскроу (услуг по сопровождению расчётов между сторонами сделки). В шаблонах фигурируют итоговые отчёты покупателя и продавца, документы о выплатах и закрывающие ведомости. Публичные материалы призывают искать в чужих ящиках письма с такими документами. Отсюда вероятная цель - вмешаться в денежный перевод. Завершённой махинации в исходном инциденте зафиксировано не было, но мотив выглядит убедительно.

Удалённый доступ в такой схеме ценнее немедленной кражи пароля. Он даёт время наблюдать за перепиской, изучать порядок согласований и ждать удобного момента. Программа удалённого управления здесь скорее плацдарм, чем конечная цель. Поэтому один и тот же набор инструментов может годами оставаться незамеченным.

Защита строится на сочетании нескольких мер. К неожиданным просьбам открыть документ или обновить программу стоит относиться как к вопросу делового контекста, а не только репутации ссылки. Полезно отслеживать установку средств удалённого доступа и сверять их с утверждённым перечнем. Появление второго такого средства на одной машине - повод для отдельной проверки. Также стоит замечать попытки скрыть программы из списка установленных.

Каждый элемент схемы по отдельности выглядит законно. Письмо отправлено с настоящего аккаунта. Ссылку обработал доверенный сервис. Страница размещена на обычном сайте. В нарисованной адресной строке стоит домен Adobe. Скачанный файл - коммерческий продукт. Именно поэтому проверка отдельных признаков даёт сбой. Надёжнее оценивать саму просьбу и то, как на неё реагирует человек.