Команда UserGate uFactor обнародовала детали сложной кибератаки с использованием вредоносного ПО DarkWatchman, известного также как Buhtrap. Этот модульный троянец распространяется через фишинговые письма с ZIP-вложениями, содержащими самораспаковывающиеся SFX-архивы, и применяет многоуровневое шифрование для обхода систем защиты. Анализ показал, что атака начинается с тщательно спланированной подмены отправителя: злоумышленники использовали сервер ponyexpress.website с IP 195.19.93.148, который по данным AbuseIPDB уже фигурировал в 107 инцидентах. При открытии вложения жертва видит иконку PDF-документа благодаря настройке Windows, скрывающей расширения файлов, тогда как фактически запускается JavaScript-сценарий с двойным уровнем обфускации.
Описание
Ключевой особенностью DarkWatchman является механизм распаковки основного модуля. Вредонос использует SFX-архив, который при запуске добавляет исключения в защиту через PowerShell, после чего активирует скрипт 4157934657 через wscript.exe. Исследователи расшифровали его содержимое с помощью онлайн-компилятора OneCompiler, выявив XOR-шифрование с динамическим ключом. Алгоритм генерирует ключ на основе системных данных, применяя операцию XOR к строкам вида "db460075cc43160a", что усложняет статический анализ. После преобразования в de4js обнаружился основной модуль с функциями, опасными для корпоративных сетей: от очистки журналов событий до удаления теневых копий Volume Shadow Copy.
Особую тревогу вызывает Domain Generation Algorithm, адаптированный под современные реалии. Вместо фиксированных доменов DarkWatchman использует комбинацию из 20 хешированных значений и шести TLD-зон (.online, .store и др.), генерируя URL по формуле https://<хеш><зона>/index.php. Криптографической основой служит CRC32, где входными данными выступают текущая дата в GMT-формате, соль "2d187a42" и счетчик. Python-скрипт, воспроизведенный исследователями, показал: ежедневно создается 600 уникальных URL, что делает блокировку через чёрные списки неэффективной. Для сетевого взаимодействия троянец регистрирует библиотеку dynwrapx.dll, позволяющую исполнять произвольный код через WinAPI: выделяет память, записывает полученные с C2-сервера инструкции и запускает их в новом потоке.
Функционал DarkWatchman включает комплекс разрушительных действий. Он очищает историю браузеров Chrome, Yandex, Firefox и Edge, внедряет задачи в Планировщик заданий для автозапуска, реализует кейлоггинг и выполняет команды через cmd.exe. При этом вредонос использует DynamicWrapperX для прямого вызова системных функций, включая CreateThread и VirtualAlloc, что позволяет ему загружать дополнительные модули "на лету". Эксперты UserGate подчеркивают: атака демонстрирует эволюцию фишинга, где традиционная подмена документов заменена техникой "двойного маскирования" - SFX-архив скрывает JavaScript, который в свою очередь расшифровывает основной модуль.
Для защиты специалисты рекомендуют предприятиям усилить контроль за вложениями .ZIP, отключить скрытие расширений файлов в Windows и внедрить анализ заголовков писем на предмет spoofing. Обнаружение подобных угроз требует мониторинга аномальных вызовов wscript.exe и PowerShell, особенно с параметрами исключения системных дисков. Исследование DarkWatchman подтверждает тенденцию: современные вредоносы комбинируют "старые" приемы вроде XOR-шифрования с инновационными методами генерации доменов, превращая каждую атаку в уникальную киберугрозу, требующую многослойной защиты. Эта разработка подчеркивает важность поведенческого анализа, поскольку традиционные сигнатурные методы бессильны против динамически изменяющегося кода и доменных структур.
Индикаторы компрометации
