В мире исследования угроз прямой контакт с создателем вредоносного программного обеспечения - событие почти легендарное. Аналитики обычно имеют дело с безликим кодом, логированием и артефактами атак, но редко когда граница между наблюдателем и злоумышленником стирается настолько, что они начинают общаться в реальном времени. Именно такой уникальный опыт получил специалист, изучавший новый загрузчик под названием "Kiss Loader". Этот инцидент, начавшийся как рутинный разбор образца, перерос в непосредственное взаимодействие с человеком, стоящим за атакой, и наглядно демонстрирует, как ошибки в настройке инфраструктуры могут раскрыть не только технические детали, но и самих угрозовых акторов.
Описание
Загрузчик Kiss Loader на момент обнаружения представлял собой новый, ранее не встречавшийся инструмент. Его цепочка выполнения, реконструированная аналитиком, является классическим примером многоэтапной атаки. Все начинается с файла ярлыка Windows, замаскированного под PDF-документ. Этот ярлык подключается к удалённому ресурсу WebDAV, размещённому через сервис TryCloudflare, который создаёт временные публичные туннели к локально размещённым службам. Это позволяет злоумышленнику гибко изменять полезные нагрузки без необходимости регистрации домена. Далее выполняется каскад скриптов на языках WSH и JScript, которые отображают пользователю поддельный PDF-файл для отвода внимания, устанавливают закрепление в системе через папку автозагрузки и загружают архив с основными компонентами.
Ключевым компонентом является сам загрузчик, написанный на Python. Он отвечает за расшифровку финальной полезной нагрузки, скрытой в бинарных файлах. Ключи для дешифрования хранятся в отдельных JSON-файлах. Аналитик установил, что скрытая оболочка была сгенерирована с помощью открытого инструмента Donut, который создаёт позиционно-независимый код для выполнения сборок .NET непосредственно в памяти. После расшифровки были выявлены две вредоносные компоненты: одна была определена как VenomRAT, вариант известного удалённого административного трояна (RAT) AsyncRAT, а другая представляла собой утилиту, защищённую обфускатором .NET Reactor. Финальная стадия - внедрение этой вредоносной нагрузки в легитимный процесс explorer.exe с использованием техники под названием Early Bird APC (Asynchronous Procedure Call, асинхронный вызов процедур). Этот метод повышает скрытность, позволяя коду выполниться в контексте доверенного процесса до начала его нормальной работы.
Что сделало этот случай особенным, так это состояние инфраструктуры злоумышленника. Каталог WebDAV, использовавшийся для доставки вредоносных скриптов и загрузчика, был полностью открыт для публичного доступа, без каких-либо ограничений. Это позволило аналитику не только изучить файлы, но и заметить явные признаки того, что инструментарий находится в активной разработке. Код содержал многочисленные комментарии, подробно описывающие логику дешифрования и внедрения, что может указывать на использование автоматизированных средств генерации кода. Кроме того, в скриптах присутствовали служебные классы для тестирования, а сам загрузчик при запуске выводил подробные отладочные сообщения, что нехарактерно для финальных боевых версий вредоносного ПО. Всё это свидетельствовало о работе угрозового актора в режиме отладки и подготовки.
Решающим моментом стало решение аналитика выполнить вредоносный ярлык в контролируемой среде для наблюдения за полным циклом атаки. После начала процесса дешифровки обстановка резко изменилась: окна командной строки и аналитических инструментов, таких как Notepad++ и Process Explorer, начали самопроизвольно закрываться. Затем курсор мыши пришёл в движение без участия пользователя. Осознав, что система находится под удалённым контролем, аналитик провёл нестандартный эксперимент. Он повторно запустил образец и оставил открытым окно текстового редактора с вопросом: "Привет! Вы автор этого вредоносного ПО?". Примерно через час в том же окне появился ответ. Как следует из скриншота, опубликованного в отчёте, короткий и неформальный диалог подтвердил, что на другой стороне находится разработчик Kiss Loader. Угрозовый актор проявил любопытство, спросил об используемых инструментах анализа и прямо подтвердил, что занимается разработкой вредоносного программного обеспечения, экспериментируя с различными техниками, включая упомянутый Early Bird APC.
Этот прямой, хотя и краткий, обмен сообщениями является исключительным случаем в практике киберрасследований. Он подчёркивает важнейший принцип: анализ потенциально опасных образцов должен всегда проводиться в строго изолированных средах, так как даже контролируемое выполнение может привести к неожиданному взаимодействию с живым противником. Загрузчик Kiss Loader, несмотря на свою незавершённость, демонстрирует применение современных техник уклонения от обнаружения и представляет собой формирующуюся угрозу. Инцидент также служит напоминанием, что за любым вредоносным кодом стоит человек, который может допустить ошибки - будь то в конфигурации инфраструктуры, оставляющей её открытой, или в излишней детализации кода. Для специалистов по информационной безопасности это лишний повод уделять внимание не только сигнатурам и поведенческим аномалиям, но и анализу тактик, техник и процедур (TTP), которые могут выдать как инструментарий, так и его создателя на ранних стадиях разработки.
