С августа 2026 года зафиксирована серия инцидентов, в которых заражение начинается с действий самой жертвы. Человек копирует строку с чужого сайта, вставляет её в терминал и запускает вредоносный код. Схема получила название TerminalFix. Это разновидность более известного приёма ClickFix, где посетителю предлагают открыть окно "Выполнить" и вставить туда команду. Разница в деталях: TerminalFix ведёт пользователя в окно Windows Terminal.
Описание
Смысл один. Сайт показывает капчу, сообщение об ошибке или индикатор загрузки. Посетителю объясняют, что для продолжения нужно вставить скопированную строку в консоль. Внешне это похоже на техническую инструкцию, поэтому многие выполняют её без вопросов. Приманки TerminalFix не привязаны к одной группировке или одной кампании. В 2026 году их использовали в нескольких акциях, и цепочки заражения внутри них отличаются.
По данным Sophos, эти эпизоды связали с более крупной кампанией, которую компания отслеживает под обозначением STAC4924 и которая активна как минимум с марта. Опознать её помог загрузчик Lorem Ipsum Loader - программа, исполняющая вредоносный код прямо в памяти (шелл-код). Впервые её заметили в феврале 2026 года в BlueVoyant. Изначально речь шла об инцидентах, которые выявили при круглосуточном наблюдении за инфраструктурой клиентов (MDR - услуга управляемого обнаружения и реагирования).
Дальше события развиваются предсказуемо. Вставленная команда скачивает архив. Внутри - обычная программа Windows, вредоносная библиотека и пакетный сценарий. Сценарий прописывает несколько механизмов автозапуска и запускает легитимное приложение. Рядом с ним размещают постороннюю библиотеку, и система загружает её вместо собственной. Такой приём называют подменой библиотек.
Маскировка продумана заранее. Байты вредоносного кода хранятся не как двоичные данные, а в виде английских слов. Отдельная таблица сопоставляет слова и их числовые значения. Приём усложняет работу систем, которые ищут подозрительные файлы по степени случайности содержимого (энтропии).
Затем загрузчик получает от злоумышленников адреса управляющих серверов. Он обращается к профилю на легитимной платформе для публикации текстов, вытаскивает оттуда закодированную строку и расшифровывает актуальный список командно-контрольных серверов (C2-серверов). Обмен идёт запросами, похожими на передачу снимков JPEG. Внутри картинок спрятаны данные. Сокрытие информации в посторонних файлах помогает вредоносной активности сливаться с обычным веб-трафиком.
После этого в дело идут команды PowerShell (встроенная среда автоматизации Windows) для разведки и закрепления в системе. На компьютер попадает переносимая версия Python: её разворачивают в общедоступном каталоге пользователей. Оттуда запускается собственный туннельный клиент. Он открывает шифрованное соединение с серверами атакующих и присваивает каждой заражённой машине уникальный идентификатор. Туннель позволяет переправлять трафик через чужой компьютер и добираться до сетевых ресурсов, оставаясь незаметным на фоне обычного обмена данными.
Кампания прошла через две фазы. Первая, в марте и апреле, опиралась на сайты, которые выводились в поиске по нужным запросам и раздавали установщики Microsoft Teams со встроенной вредоносной начинкой. Вторая началась в конце мая и перешла на приманки TerminalFix. Смена инструментов совпала с тем, что Microsoft закрыла сервис подписи вредоносного ПО: он снабжал атакующих поддельными сертификатами. Вторая фаза продолжалась до сентября и включала подмену библиотек, сокрытие данных в изображениях, разведку каталога Active Directory (служба каталогов в корпоративных сетях Windows) и обратный туннель на Python. Набор инструментов совпадает с тем, что Microsoft описывала в августе.
Обе фазы, по оценке Sophos, связаны с одной группировкой или с близкими друг к другу исполнителями. Уверенность специалисты называют умеренной. Признаки общие: уникальный идентификатор для каждой жертвы при обратной связи, единый способ получения адресов серверов, закрепление через автозапуск под именами компонентов Microsoft и обновлений. Часто его подкрепляют заданиями планировщика.
Атрибуция появилась позже. BlueVoyant связала Lorem Ipsum Loader с криминальной группировкой Rapid Brigantine. Подразделение Sophos Counter Threat Unit отслеживает её как GOLD VICTOR, известную также как Vanilla Tempest, DEV-0832, VICE SPIDER и Vice Society. С этой группой связывают программы-вымогатели Vice Society и Rhysida. Шифрования файлов в кампании STAC4924 пока не зафиксировано.
Риски затрагивают в первую очередь компании, где сотрудники постоянно работают с браузером и корпоративными сервисами. Туннель через заражённый компьютер даёт посторонним путь во внутреннюю сеть и к рабочим данным. Простейшая защита - не выполнять команды, которые сайты предлагают вставить в терминал. Полезны регулярные обновления систем, двухфакторная аутентификация и контроль автозапуска. Отдельной осторожности требуют установщики рабочих инструментов, найденные через поисковую выдачу.
Индикаторы компрометации
