В мае и июне 2026 года по почте разошлись два документа Word с одинаковой начинкой. Открывший их пользователь видел либо конфиденциальную аналитическую записку о визите президента США в Китай, либо проект французского соглашения о летнем патрулировании. Оба документа ведут к одному механизму запуска вредоносной программы. Первый файл рассчитан на малайзийскую аудиторию, второй написан по-французски.
Описание
Чтобы заражение началось, жертва должна разрешить работу макросов. Макрос - небольшая программа внутри документа, которая выполняется автоматически при его открытии. Старые форматы Word часто просят подтвердить такое разрешение, поэтому пользователь редко видит в этом угрозу. Затем документ разбирает заранее заготовленный набор чисел и собирает из них исполняемый файл. Этот файл выдаёт себя за приложение Microsoft OneNote версии 15.0.4569.1504.
Готового вредоносного файла внутри документа нет. Лежат только пронумерованные фрагменты, а сборка происходит позже, при следующем входе пользователя в систему. Исследование PelagosX показало, что эта схема осталась неизменной в обеих версиях загрузчика. Злоумышленники меняют приманки и имена файлов, тогда как ядро атаки не трогают. Такой подход усложняет поиск угрозы по контрольным суммам файлов.
Документы созданы 19 мая и 9 июня 2026 года, то есть с разницей в три недели. Пароль на снятие защиты с файла в каждом случае свой, а поведение макроса одинаковое. Собранный исполняемый файл содержит поддельные сведения о производителе и версии OneNote. Внутри него спрятан зашифрованный и сжатый блок, замаскированный под изображение. При запуске приложение извлекает из блока вторую часть вредоносной программы. Ни один этап не хранится на диске в готовом виде, поэтому проверка одного вложения часто ничего не даёт.
Закрепление в системе опирается на два штатных механизма Windows. В папке автозагрузки появляется ярлык с именем OneNote и необычным сочетанием регистра в расширении. Второй механизм - задача в планировщике заданий, службе Windows для запуска программ по расписанию. Задача названа Windows Update, а её автором указана Microsoft Corporation. Срабатывает она при входе в систему. Команда запускает библиотеку через штатную утилиту rundll32, которая в Windows отвечает за запуск таких файлов. Начало отсчёта задачи датировано 2008 годом, а конечная граница отнесена к 2099 году.
Вторая часть вредоносной программы - библиотека для сбора сведений о машине. В одной версии она сохраняется под расширением, типичным для программ на Android, во второй - под коротким расширением. Оба варианта запускает одна и та же системная утилита. Так библиотека выглядит почти безобидно для средств защиты, если те не следят за цепочкой целиком.
Собранные сведения довольно подробны. Программа узнаёт имя компьютера, название и версию операционной системы, имя пользователя. Затем она перечисляет установленные программы в системных каталогах и запущенные процессы. Отдельно читаются параметры сетевых адаптеров и настройки прокси-сервера. Такой набор помогает злоумышленнику понять, насколько ценна жертва и как безопаснее связаться с ней.
Связь с командно-контрольным сервером (C2), то есть центром управления заражёнными машинами, идёт через обычные веб-запросы. Перед отправкой программа шифрует и кодирует собранные сведения, а после встраивает их в адрес запроса. Постоянного адреса сервера в коде нет - он формируется на ходу, потому блокировка по домену не сработает. Ответ проверяется по коду состояния. Уникальный маркер конфигурации совпадает с тем, что описывали в отчётах о прежних атаках этой группы.
На след группировки SharpPanda, известной также как Sharp Dragon, указывают совпадения в инструментах. В 2024 году об её атаках на Малайзию писала компания NetbyteSEC. Check Point Research наблюдает за этой группой с 2021 года и отмечала целевой фишинг против государственных структур Юго-Восточной Азии. Самые весомые доводы - технические: у двух версий библиотеки совпадают отдельные внутренние разделы. Значит, обе версии вышли из одного набора инструментов, а не от разных групп.
После запуска программа удаляет часть своих файлов. Она стирает фрагменты и поддельный OneNote, оставляя только закреплённые компоненты. Следы первого этапа исчезают, а восстановить картину атаки можно лишь по журналам системы.
Защита здесь строится не на сверке контрольных сумм, а на наблюдении за всей цепочкой. Разумно запретить запуск макросов в документах, полученных из интернета. Office и Windows стоит держать в актуальном состоянии. Полезно контролировать создание задач в планировщике от имени обычных пользовательских процессов. То же касается новых ярлыков в автозагрузке. Отдельного внимания заслуживает запуск системной утилиты rundll32 с файлами, у которых нетипичное расширение. Настройки почтовых шлюзов имеет смысл дополнительно проверять на вложения с макросами.
Кампания подтверждает устойчивый интерес группировки к государственным структурам Юго-Восточной Азии. При этом злоумышленники не переписывают загрузчик, а подбирают новые легенды под регион и язык. Для защитников это скорее преимущество. Узнаваемая последовательность из макроса, поддельного OneNote и задачи планировщика даёт шанс заметить атаку до отправки сведений на командно-контрольный сервер.
Индикаторы компрометации
