В августе 2026 года на организации и частных пользователей Южной Кореи обрушилась волна целевых атак. Доставляли их обычные письма, но адресованные конкретному человеку. Злоумышленники маскировали вложения под резюме, служебные записки и рабочие документы. Получатель открывал файл и видел перед собой безобидный текст или таблицу. Ничего подозрительного не происходило. Именно в эти секунды на компьютере запускался скрытый код. Выбор жертв выглядит не случайным: под удар попали сотрудники компаний и государственных структур, а также владельцы криптовалютных активов.
Описание
Чаще всего вложения были файлами-ярлыками. Такой файл привычен любому пользователю Windows: он ведёт к папке, программе или документу. В августовских атаках ярлык превратился в носитель чужого сценария. Один щелчок запускал цепочку: на экране открывался документ-приманка, а параллельно компьютер связывался с сервером злоумышленников. Видимых признаков заражения не было. О проблеме человек узнавал позже, когда пропадали файлы или появлялись странные записи в системе. Схема работала потому, что ярлыки редко вызывают подозрение у служб безопасности и у самих сотрудников.
По данным AhnLab, в августе 2026 года компания отслеживала не менее шести различающихся схем атак на объекты внутри страны. Объединяло их одно: доставка через целевой фишинг, то есть письма, рассчитанные на конкретного сотрудника или небольшой отдел. Расходились дальнейшие шаги. Одни группировки делали ставку на встроенные средства самой операционной системы, другие - на документы национального корейского формата. Компания отметила, что часть образцов могла остаться незамеченной.
Первый сценарий строился на автоматизации Windows. Внутри ярлыка прятался сценарий PowerShell (встроенная среда управления системой). Он восстанавливал из зашифрованного вида три файла: безобидную приманку, легальную программу-автоматизатор и её вредоносную копию. Вредоносная копия запускалась из служебной папки системы. Чтобы закрепиться, она добавляла в планировщик заданий запись под видом обновления облачного диска OneDrive. Дальше управление шло через сторонний сервис обмена сообщениями, а результаты работы возвращались на сервер в перекодированном виде.
Второй сценарий опирался на штатную утилиту Windows для скачивания файлов. Она загружала вредоносную страницу во временную папку. Источником служили публичные репозитории кода и облачное хранилище Google Drive. Затем в память попадали программы для кражи данных, перехвата нажатий клавиш и скрытого удалённого доступа. Собирали они системные сведения, перечни важных документов и данные о криптовалютных кошельках. Для владельца компьютера всё выглядело как обычная работа с документом.
Третий и четвёртый варианты давали похожий результат, но другими средствами. В одном случае ярлык сам формировал вложенный код, скачивал приманку и дополнительный модуль с внешнего ресурса. В другом файл выглядел как резюме или документ. После открытия создавались вспомогательные сценарии, которые регистрировались в планировщике и подгружали файлы по ссылкам. Финалом становилось семейство программ удалённого доступа XenoRAT. Их внедряли в доверенные процессы с помощью подмены библиотеки: легальная программа сама загружала вредоносный модуль рядом с собой.
Пятый сценарий использовал язык программирования Python. Командные строки внутри ярлыка скачивали дополнительные файлы, устанавливали пакет Python и маскировали его интерпретатор. Программа удалённого доступа затем исполняла команды на сервере злоумышленников и возвращала результат. Шестой вариант касался документов корейского текстового формата. Внутри лежал вложенный объект, а пользователя уговаривали перейти по ссылке на прикрепление. Открытие ссылки запускало доверенную программу, но вместе с ней подгружалась её вредоносная копия. Следом срабатывали командный сценарий и ещё одна программа скрытого доступа.
Продукты AhnLab распознавали эти угрозы под разными именами - от загрузчиков до программ удалённого доступа. Компания предупредила, что неизученные варианты могут оставаться невидимыми для защиты. Такой разброс объясним: каждая схема собиралась из готовых элементов, а менялись лишь обёртки. Появлялись новые адреса, обновлялись приманки, переписывались сценарии. Отследить кампанию по одному признаку почти невозможно, поэтому защита строится на наблюдении за поведением программ, а не за их именами.
Последствия для пострадавших выходят далеко за пределы одного компьютера. Через скрытый доступ злоумышленники получают контроль над системой. Дальше они забирают документы, переписку и учётные данные, а при необходимости устанавливают новое вредоносное ПО. Для компании это оборачивается утечкой коммерческой тайны, простоем в работе и репутационными потерями. Для частного пользователя - потерей доступа к аккаунтам и денежным средствам. Особый риск несут сотрудники, работающие с финансами, закупками и кадровыми данными: именно их почта чаще всего интересна атакующим.
Снизить риск помогает несколько простых привычек. Не открывайте вложения от незнакомых отправителей, даже если тема письма кажется рабочей. Проверяйте адрес отправителя: подделки часто отличаются одной буквой. Отключите автоматический запуск сценариев и макросов в офисных документах. Своевременно устанавливайте обновления операционной системы и браузера. Следите за актуальностью антивирусной защиты и включите двухфакторную аутентификацию для рабочих аккаунтов. Если подозрительный файл уже открыт, стоит отключить компьютер от сети и обратиться к специалистам.
Индикаторы компрометации
