Silver Fox сменила схему доставки вредоносного ПО после сканирования своих доменов

Схема держится на трёх уровнях. Первый - статичные страницы, выдающие себя за сайты популярных программ. Среди свежих находок - копии ресурса SteelSeries GG для игровой периферии и редактора "Бицзянь" от Bilibili. Через поисковую оптимизацию такие страницы попадают в верхние строки выдачи, поэтому файл пользователь скачивает сам. Оформление почти неотличимо от официального. Заполнены заголовки и описания, добавлена разметка для поисковых систем, есть раздел с частыми вопросами и адаптивное меню. Встроенный китайский счётчик посещаемости сообщает владельцу о каждом заходе, так что поток жертв у группировки открыт для наблюдения. Второй уровень - промежуточные серверы-диспетчеры под управлением Cloudflare. Третий - площадки, где лежат сами файлы. После открытия страницы браузер запрашивает список диспетчеров, а затем по очереди обращается к ним за ссылкой. Если один не ответил за пару секунд, берётся следующий. Привычное поведение кнопки подменяется: загрузку запускает скрытый элемент, и посетитель не видит перехода. Клиентская часть принимает любой ответ сервера, поэтому менять правила можно без правок на страницах.

По данным 360 Threat Intelligence Center, в эволюции этой логики просматриваются четыре этапа. Сначала диспетчер не проверял источник запроса. Любой мог обратиться к нему и получить адрес вредоносного файла. Подход простой, но раскрывает инфраструктуру: образец забирали и аналитики, и автоматические песочницы. Затем появился белый список. Сервер смотрел на служебный заголовок, где браузер указывает, с какой страницы пришёл посетитель, и отдавал настоящую нагрузку только для доменов из своего перечня. Остальные запросы оставались ни с чем.

У белого списка обнаружилось слабое место. Сам факт выдачи настоящей нагрузки подтверждал: домен в перечне и участвует в кампании. Аналитики взяли недавно зарегистрированные домены второго уровня как пул кандидатов и проверили их по очереди, подставляя каждый в заголовок источника. Так нашлась партия новых поддельных площадок, за которыми продолжили следить. Похоже, поток запросов группировка заметила. Одиннадцатого сентября днём белый список ещё действовал. Уже ночью двенадцатого два обращения к одному и тому же серверу разошлись: для одного домена вернулся безобидный установщик WeChat, для другого - настоящая нагрузка. В 04:35 по UTC семь контрольных групп запросов подтвердили переход на облачный чёрный список. Смена браузера, протокола, пути или поддомена ничего не меняет. Запросы вообще без указания страницы-источника тоже получают нагрузку.

Смысл нового правила прост: в списке отозванных оказываются площадки, которые группировка считает раскрытыми. Им выдаётся безвредный файл. Всё прочее - и действующие домены, и только что зарегистрированные - получает нагрузку. Прежний способ поиска, построенный на факте выдачи, перестал работать. Зато возник новый признак: домен, которому достался официальный установщик, уже отработан и списан. Правда, такой признак подтверждает лишь известные площадки и не годится для поиска свежих. Сама страница остаётся в сети, счётчик исправно считает посетителей, кнопка по-прежнему обещает загрузку. Вывод из оборота перенесли со страницы на серверный список.

Ещё одна деталь касается служебных запросов, которые браузер отправляет автоматически. Вместо обычной ошибки на них приходит тот же код подгрузки. Значит, скрипт вшит на уровне шаблона и срабатывает при любом обращении, даже если человек ничего не нажимал. В коде страниц остались фрагменты прежней схемы с уже неработающим сервером: его не удалили, просто новая логика успевает раньше. Распределение защиты тоже показательно: диспетчеры спрятаны за Cloudflare, а поддельные сайты стоят на прямом подключении и делят один сертификат на несколько доменов. Это упрощает их поиск.

Для защиты нужно закрыть на уровне DNS и сетевых шлюзов домены, похожие на адреса известных программ, особенно в зоне .com.cn; проверить рабочие станции на следы посещения таких сайтов, ведь браузер сохраняет список серверов-диспетчеров в локальном хранилище; следить за загрузкой исполняемых файлов без указания страницы-источника; свести скачивание программ к внутреннему хранилищу с проверенным перечнем. Разовое наблюдение не стоит считать окончательным. Группировка уже показала, что меняет правила вслед за действиями аналитиков. Следить за её диспетчерами полезнее, чем фиксировать отдельные образцы.