Группа киберразведки Howler Cell выявила активную вредоносную кампанию, в рамках которой злоумышленники распространяют усовершенствованную версию загрузчика CountLoader через сайты с пиратским программным обеспечением. Финальной целью атаки является хищение учетных данных с помощью стилера ACR Stealer.
Описание
Кампания использует многоэтапный подход для обеспечения доступа, уклонения от обнаружения и доставки дополнительных вредоносных семейств. Исторически CountLoader был впервые описан в сентябре 2025 года, а теперь обнаружена его новая версия 3.2. Этот вариант расширил свои возможности с шести до девяти типов задач. Ключевыми нововведениями стали функции распространения полезной нагрузки (payload) через съемные носители и прямое выполнение кода в памяти с использованием Mshta и PowerShell.
Процесс заражения начинается с того, что пользователь, ищущий взломанные версии популярного ПО, например Microsoft Office, попадает на поддельную страницу загрузки. Сайт перенаправляет жертву на ссылку в сервисе MediaFire, где размещен вредоносный архив. Этот архив содержит зашифрованный ZIP-файл и документ с паролем для его открытия. Внутри архива находится переименованный легитимный интерпретатор Python, который используется для запуска модифицированной библиотеки. Эта библиотека, в свою очередь, исполняет скрипт HTA, загружающий обфусцированный CountLoader.
После выполнения загрузчик удаляет свой файл с диска и устанавливает постоянное присутствие (persistence) в системе через задание Планировщика задач Windows с маскировкой под процесс Google. Задание настроено на выполнение каждые 30 минут в течение 10 лет. CountLoader проводит разведку системы, собирая детальную информацию об операционной системе, установленном антивирусном ПО, доменном окружении и даже наличии криптокошельков. Все данные шифруются с помощью кастомного алгоритма, использующего XOR и Base64, и отправляются на командный сервер (C2).
Для связи с C2 используется набор доменов, маскирующихся под глобальные сервисы. После валидации активного сервера вредонос получает JWT-токен для аутентификации последующих запросов. Затем CountLoader запрашивает задачи у оператора. Поддерживаемые типы задач включают загрузку и исполнение файлов, установку MSI-пакетов, сбор расширенной разведывательной информации и, что важно, распространение на съемные USB-накопители.
В рамках исследованной кампании C2 сервер выдал задачу на загрузку ZIP-архива. Внутри архива находился троянизированный исполняемый файл WinX_DVD_Copy_Pro.exe. Этот файл был создан на основе легитимной подписанной программы, в код которой был внедрен шелл-код. Шелл-код, используя технику файлесс-атаки, распаковывает в памяти финальную полезную нагрузку без записи на диск. Этой нагрузкой оказался стилер ACR Stealer, предназначенный для кражи учетных данных, данных браузеров и криптокошельков.
Аналитики Howler Cell также обнаружили в открытых источниках другие вредоносные Python-пакеты, связанные с этой кампанией и загруженные еще в сентябре 2025 года. На момент публикации они не детектировались антивирусами. Инфраструктура C2 использует домены, имитирующие легитимные сервисы, и размещается на хостингах в США и Гонконге, что затрудняет атрибуцию и блокировку.
Эта кампания демонстрирует продолжающуюся эволюцию CountLoader в сторону большей скрытности и модульности. Злоумышленники активно используют злоупотребление доверенными инструментами (LOLBins), такие как PowerShell, Mshta, Certutil и Bitsadmin, а также техники выполнения кода исключительно в памяти. Эксперты подчеркивают необходимость многоуровневой защиты, мониторинга аномальных запланированных задач, контроля за исполнением скриптов и интеграции актуальной разведывательной информации для противодействия подобным сложным угрозам.
Индикаторы компрометации
