Троян Silver Fox впервые расшифровывает полезную нагрузку на видеокарте

Приманка имитирует список работников, нарушивших внутреннюю дисциплину во втором квартале 2026 года. Человек открывает файл, и тот без единого вспомогательного компонента проходит весь путь атаки. Сначала он проверяет, запущен ли на самом деле компьютер или изолированная среда. Потом расшифровывает спрятанную нагрузку в пять этапов. Затем внедряет код в системную службу планировщика заданий Windows. После этого выходит на связь с управляющим сервером и загружает следующий модуль. Каждый шаг умещается в одном исполняемом файле, что упрощает доставку и снижает риск утечки при подготовке кампании.

Перед расшифровкой троян внимательно изучает окружение. Он ищет следы виртуальных машин известных производителей, проверяет объём оперативной памяти, читает журналы событий Windows и следит за попытками их очистки. Отдельное условие связано с экраном. Если разрешение ниже 1366 на 768 точек, а прав администратора нет, атака тихо прекращается. Вместо настоящего адреса цели код подставляет несуществующий идентификатор процесса. Такая проверка отсекает аналитические песочницы, которые часто работают в окне небольшого размера. Анализ Rising показал, что в этом образце контроль добрался и до видеокарты. Программа измеряет её быстродействие и требует определённого порога кадров в секунду. Без подходящего графического ускорителя расшифровка не начинается.

Упаковка нагрузки состоит из пяти слоёв. Строки внутри программы закрыты симметричным шифром AES. Один и тот же ключ служит и для шифрования, и для восстановления текста. Фрагментов около двухсот, и у каждого свой ключ, записанный рядом с местом использования. Сам код сжат методом Хаффмана, где частым символам достаются короткие коды, а редким длинные. Разбор этого сжатия ведёт видеокарта, процессор к нему почти не подключён. Дальше работает потоковый шифр ChaCha20, причём неравномерно: часть байтов остаётся открытой, и готовый файл выглядит как обычный набор данных. Последний слой - сжатие алгоритмом, встроенным в Windows. Только после пяти шагов появляется рабочий код размером около трёх килобайт.

Внедрение обходится без создания удалённого потока. Троян находит службу планировщика заданий и определяет процесс, в котором та работает. В памяти этого процесса он отыскивает свободное место и записывает туда свою нагрузку. Запуск идёт через очередь завершения операций ввода-вывода - служебный механизм Windows, которым обычно пользуются драйверы. Нужную ссылку на очередь программа заимствует у другого процесса того же пользователя. Со стороны всё выглядит как обычная внутренняя операция системы. Системные функции троян ищет не через стандартные таблицы, а по заранее вычисленным числовым меткам.

Дальше работает второй этап. Он умеет немного: скачать продолжение. Код находит встроенные настройки по числовой подписи, расшифровывает их и получает адрес управляющего сервера, порт и имена будущих файлов. Связь идёт по защищённому каналу, а ответ приходит в виде нового исполняемого модуля. Скачанный файл маскируется под библиотеку, которую подгружает браузер Google Chrome. Рядом с настоящими компонентами браузера появляются подставные файлы с похожими именами, и внимание к ним ослабевает.

Инфраструктура кампании просуществовала считаные дни. Домен управляющего сервера зарегистрировали 15 сентября, сам образец собрали 17 сентября, а первое сообщение о заражении появилось 18 сентября. Три дня от подготовки до атаки - короткий срок, который почти не оставляет защитным командам времени на блокировку адреса. Управляющий сервер принимал запросы на нестандартном порту и отдавал файлы порциями, что затрудняет фильтрацию трафика.

Для организации такой троян опасен полным контролем над рабочей станцией. Злоумышленник получает доступ к файлам, переписке и внутренним системам. Кадровая тематика приманки указывает на интерес к сотрудникам, которые работают с персональными данными и расчётными документами. Такие трояны нередко приводят к заражению программами-вымогателями и к краже сведений. Промедление с реакцией повышает цену инцидента: восстановление обходится дороже своевременной блокировки одного письма.

Защита строится на нескольких простых правилах. Не открывайте вложения от неизвестных отправителей, особенно архивы с паролями: так обходят проверку почтовых шлюзов. Обновляйте системы, включая браузеры и офисные пакеты. Используйте решения класса EDR (программы, которые следят за поведением процессов, обращениями к памяти и сетевыми соединениями) и средства сетевого мониторинга с подключённой киберразведкой. Антивирус на рабочих станциях остаётся обязательным минимумом: он перехватывает файл до запуска. Rising уже распознаёт образцы этой кампании. Методы защиты полезной нагрузки продолжают усложняться, а перенос части вычислений на видеокарту становится заметной тенденцией.