Впервые описан Evolution RAT: крадут не пароли, а активные сессии браузера

Найти образец помог поиск по открытой базе интернет-сканирований. За сутки она показала всего три адреса, отдававших скрипты напрямую, без страницы-приманки и без перенаправлений. Два сервера замолчали к утру. Третий работал ещё несколько часов, и этого хватило, чтобы разобрать всю цепочку полностью. Имена файлов были на испанском, а хостинг и управляющий сервер в момент сбора данных размещались на одной машине.

По данным проведённого анализа, внутри одного текстового файла размером около трёх мегабайт упакована вся цепочка запуска. Пользователь получает скрипт, тот незаметно расшифровывает следующую ступень, затем ещё одну. Код исполняется в памяти легитимного системного процесса платформы .NET (среда исполнения программ Microsoft). Каждый этап снижает шансы на обнаружение: промежуточные файлы удаляются через несколько секунд после старта. Внешне на компьютере не остаётся ничего подозрительного.

Особая деталь - способ закрепления в системе. Скрипт переворачивает собственный исходный код и прячет его внутри документа, который выглядит как страница безопасности Windows. Файл получает расширение веб-страницы, заголовок "Windows Security" и безобидное имя. При следующей загрузке небольшой загрузчик из папки автозапуска достаёт скрытый текст, возвращает символы в исходный порядок и запускает программу заново. Подписи для первоначального скрипта здесь бесполезны: все ключевые слова записаны задом наперёд.

После запуска программа создаёт второй рабочий стол Windows, невидимый для владельца. Там оператор открывает браузер, окна и приложения. Жертва видит обычный экран и не замечает чужой работы. Часть окон помечена как исключённые из захвата, поэтому они не попадают ни в снимки экрана, ни в записи сеансов удалённой поддержки. Оператор работает в той же учётной записи и с теми же правами, что и сама жертва.

Программа поддерживает 59 команд. Среди них - наблюдение за экраном, управление мышью и клавиатурой, работа с файлами и процессами, перехват нажатий клавиш, запись с микрофона и веб-камеры, блокировка ввода. Отдельная команда пропускает чужой интернет-трафик через заражённый компьютер.

Ключевое отличие от обычных похитителей данных проявляется в работе с браузером. Профиль копируется целиком, и закрывать браузер жертве не нужно. Блокировки, мешающие запуску копии, снимаются, после чего копия открывается на скрытом рабочем столе. Внутри неё сохранены активные сессии: почта, банк и рабочие сервисы открываются без ввода пароля.

Вторая часть схемы - подделка цифрового отпечатка устройства. Программа собирает 35 характеристик: разрешение экрана, набор шрифтов, объём памяти, модель видеокарты, язык системы. Значения приводятся к тому виду, в котором их обычно видит сайт. Строка описания видеокарты, к примеру, формируется точно в том синтаксисе, который использует Chrome. Такой набор нужен не для инвентаризации компьютера, а для совпадения с ожиданиями системы защиты от мошенничества.

Третья часть - сетевой адрес. Через заражённую машину можно направить трафик, и он уйдёт с адреса жертвы, а не оператора. Три элемента складываются в одну картину: правильная сессия, правильное устройство, правильный адрес.

Для системы борьбы с мошенничеством такой вход выглядит как возвращение постоянного клиента на знакомом устройстве. Второй фактор не обходится - он уже пройден жертвой ранее, а украденная сессия служит подтверждением. Смена пароля после заражения ничего не даёт: копия сессии продолжает работать. Завершить активные сеансы на стороне сервиса и заново подключить двухфакторную аутентификацию важнее, чем сменить пароль.

Обмен данными с управляющим сервером идёт без шифрования. Это не ошибка разработчика, а следствие конструкции. Адрес сервера встраивают в готовый файл уже после сборки, поэтому раздел с настройками оставлен открытым и фиксированным по размеру. Побочный эффект - трафик распознаётся на уровне сети. Первые байты обращения клиента и периодические сигналы с заголовком активного окна не меняются. Домен и порт ротируются, структура сообщений - нет.

Публичные базы на момент изучения почти не знали эти файлы. В четырёх источниках не нашлось совпадений для загрузчика и лишь одно - для основного файла.

Защита строится на нескольких уровнях. Искать стоит пары файлов: страницу с большим объёмом текста в обратном порядке и небольшой скрипт в автозапуске. В телеметрии подозрительно выглядят запуск сценариев PowerShell (штатной среды автоматизации Microsoft) из скриптовой среды Windows и необычные дочерние процессы. Сеть выдаёт открытый протокол с фиксированной структурой. Работа с учётными данными требует реакции вне заражённой машины: завершить сессии, проверить активность аккаунтов, пересмотреть настройки многофакторной защиты. Изолировать компьютер лучше средствами сети, а не только на самом рабочем столе: оператор умеет разрывать соединения и отключать ввод.

Объект кражи сместился. Пароль меняется за минуту. Скопированную сессию вместе с отпечатком устройства так быстро не отозвать. Пока этот разрыв сохраняется, атаки на активные сессии приносят результат даже там, где пароли сложные и второй фактор включён.