Троянизированный кошелёк Exodus скрывал шпионскую программу в атаке на итальянскую компанию

9 июня 2026 года в инфраструктуре итальянской компании, названной в отчёте "Альфа", была обнаружена многоступенчатая вредоносная кампания. Злоумышленники использовали поддельную налоговую фактуру, отправленную по сертифицированной электронной почте (PEC), чтобы доставить на рабочую станцию сотрудника троянизированную версию популярного криптовалютного кошелька Exodus. Внутри легитимного приложения оказался скрыт модуль удалённого управления, способный незаметно наблюдать за действиями пользователя.

Описание

Атака началась с того, что сотрудник открыл вложение в письме, якобы содержащее счёт. Оно представляло собой JavaScript-файл, который при запуске создавал скрытый сценарий PowerShell. Этот сценарий связывался с управляющим сервером злоумышленников и загружал следующий этап вредоносного кода. При этом вредоносная активность маскировалась под обычные системные операции Windows, что позволяет обходить многие стандартные средства защиты. Дополнительно злоумышленники использовали механизм инструментария управления Windows (WMI), который обеспечивает скрытый запуск процессов без отображения окон на экране.

На втором этапе, как выяснили аналитики Certego, атакующие доставили на машину модифицированный кошелёк Exodus. В оригинальное приложение, предназначенное для хранения криптовалют, был добавлен зашифрованный файл размером около 200 мегабайт. При каждом запуске кошелька вредоносный код расшифровывался и запускал в памяти системы программу удалённого доступа (троян), полностью скрытую от пользователя. Сам кошелёк при этом продолжал работать как обычное приложение, поэтому у жертвы не возникало видимых подозрений.

Обнаруженный троян, написанный на языке Rust, обладает широкими возможностями. Он собирает данные о системе и её владельце, включая имя компьютера, имя пользователя и версию Windows. Управление заражённой машиной осуществляется через командно-контрольный сервер (C2), причём связь может идти как через анонимную сеть Tor, так и через регулярно генерируемые интернет-адреса (так называемый алгоритм генерации доменных имён), что затрудняет блокировку. Программа умеет выполнять команды операционной системы, загружать и запускать дополнительные файлы, а также перехватывать трафик браузера, подменяя цифровые сертификаты. Последняя функция позволяет при определённых условиях собирать логины и пароли, вводимые пользователем на веб-сайтах. Кроме того, вредоносный код имеет механизм обновления и может получать от операторов новые модули для расширения функциональности.

Отдельного внимания заслуживает способ доставки финальной стадии. Вместо загрузки готового исполняемого файла злоумышленники применили метод компиляции на лету: часть компонентов собиралась прямо на заражённой машине с использованием легитимного компилятора Microsoft. Такой подход снижает эффективность сигнатурных антивирусных решений, поскольку вредоносный код не существует в виде единого файла до момента запуска. После выполнения своих функций вредоносная программа удаляла исходные файлы, заметая следы и затрудняя последующее расследование.

Несмотря на техническую оснащённость вредоносного кода, атаку удалось остановить на ранней стадии. Система мониторинга зафиксировала подозрительную активность в течение нескольких минут после начала заражения. Сотрудники центра реагирования на инциденты изолировали рабочую станцию менее чем через 20 минут. Это позволило предотвратить развитие атаки: злоумышленники не успели переместиться по сети, похитить данные или закрепиться в системе. Проведённый анализ показал, что программа удалённого доступа была технически готова к работе, но так и не получила ни одной команды от операторов. Индикаторы компрометации были включены в обновления средств защиты, что обеспечивает дополнительную защиту клиентам компании.

Использование легитимных приложений в качестве прикрытия для вредоносной активности становится всё более распространённым. Особенно опасен такой подход, когда атакующие маскируют вредоносный код под популярные финансовые инструменты, такие как криптовалютные кошельки. В этой связи компаниям рекомендуется усилить контроль над вложениями в электронные письма, особенно в сертифицированных сообщениях, регулярно обновлять программное обеспечение и применять специализированные средства обнаружения угроз на конечных точках (EDR). Ключевым фактором защиты остаётся скорость реакции на подозрительные события: чем раньше начинается расследование, тем меньше потенциальный ущерб.