В середине января 2026 года команда безопасности CyStack зафиксировала подозрительную активность в сети корпоративного клиента из финансового сектора. Атака, начавшаяся с фишинговой ссылки в системе поддержки, отличалась высокой изощренностью. Специалисты выявили сложную многоэтапную кампанию, технические детали которой указывают на возможную связь с деятельностью продвинутой устойчивой угрозы (APT) под условным обозначением APT-Q-27, также известной как GoldenEyeDog.
Описание
Инцидент начался, когда сотрудник отдела поддержки клиентов получил через платформу Zendesk фишинговую ссылку. Злоумышленники замаскировали вредоносный файл под изображение, используя хитрость с фрагментом URL. В результате пользователь загрузил и запустил файл с расширением .pif (Program Information File), который в современных версиях Windows исполняется как обычная программа. Ключевой особенностью этой начальной вредоносной программы-дроппера (dropper) стало наличие действовавшей на момент распространения цифровой подписи, выданной на имя легальной компании Portier Global Pty Ltd. Это существенно снижало подозрительность файла и могло обойти проверки репутации.
После запуска дроппер, написанный на .NET и сильно обфусцированный, загрузил со стороннего облачного хранилища набор компонентов. Файлы были размещены в скрытой директории, имитирующей кэш обновлений Windows. Для временного поддержания присутствия в системе был создан ключ автозапуска в реестре. Следующим этапом стала техника под названием DLL Side-Loading. Вредоносная библиотека crashreport.dll, также имевшая цифровую подпись, была загружена в контексте легитимного подписанного исполняемого файла updat.exe.
Основная нагрузка (payload) хранилась в зашифрованном виде внутри файла updat.log. Загрузчик расшифровал её и выполнил непосредственно в оперативной памяти, что значительно усложняет файловый анализ и детектирование. Итоговый бэкдор прошел серию проверок на анализ, включая проверку ресурсов системы для избегания песочниц. При наличии административных прав он установил постоянное присутствие (persistence), создав службу Windows с названием, похожим на системное. Кроме того, бэкдор пытался изменить политики контроля учётных записей (UAC), чтобы снизить уровень безопасности.
Архитектура бэкдора является модульной и управляется командами с командного сервера (C&C). Это позволяет злоумышленникам гибко управлять функционалом, включая операции с файлами, перехват ввода с клавиатуры или создание скриншотов. Аналитики CyStack обнаружили заметные пересечения этой кампании с ранее задокументированной активностью APT-Q-27. Сходства наблюдаются в шаблонах именования инфраструктуры, использовании специфического порта, методах хранения полезной нагрузки и общей модульной архитектуре бэкдора.
Хотя прямая атрибуция конкретной группе на основе этих индикаторов невозможна, совокупность техник, процедур и ресурсов (TTPs) указывает на использование общего инструментария или инфраструктуры. В рассмотренном случае распространение вредоносного ПО на другие системы в сети не было зафиксировано. Эксперты подчеркивают, что подобные атаки демонстрируют растущую тенденцию к использованию подписанного кода и "бесфайловых" методов выполнения в памяти для обхода традиционных защит.
Для противодействия подобным угрозам компаниям, особенно в финансовом секторе, рекомендуется делать акцент на проактивном поиске угроз (threat hunting). Необходимо искать аномальное поведение легитимных процессов, подозрительную активность в памяти и нестандартные службы. Критически важна готовность к реагированию на инциденты для быстрой изоляции систем. Защита конечных точек должна опираться на поведенческий анализ, а не только на сигнатуры. Также необходим пересмотр уязвимых поверхностей атаки, включая каналы работы с клиентами, которые всё чаще становятся мишенью для целевой социальной инженерии.
Индикаторы компрометации
