Загрузчик Pikabot вернулся после перерыва и снова применяется в атаках с требованием выкупа

Основной канал распространения - целевой фишинг. Так называют письма, отправленные конкретным сотрудникам с учётом их должности и рабочих задач. К письму прилагают вредоносный файл или ссылку. Набор приманок широк: ZIP-архивы; документы офисных пакетов; вложения в формате HTML со встроенными скриптами; ссылки на файлы, размещённые в общедоступных сетевых папках. В недавних кампаниях появился ещё один приём. В письмо встраивали ссылку на сетевой ресурс. Так эксплуатировали уязвимость в почтовом клиенте Outlook. Обработка такой ссылки запускалась автоматически. Поэтому вероятность заражения заметно возрастала. Пользователю достаточно было открыть письмо.

С точки зрения сотрудника всё выглядит безобидно. Он получает письмо от якобы знакомого отправителя. Затем открывает вложение или нажимает на ссылку. Далее на компьютер попадает файл, который выглядит как обычный документ. Именно он запускает основной код загрузчика. Заметных признаков заражения пользователь не видит. Программа не показывает окон и почти не расходует ресурсы устройства. Следовательно, первые часы после заражения проходят незаметно.

После запуска Pikabot действует осторожно. По данным анализа, программа работает как бэкдор - скрытый инструмент удалённого доступа к заражённой машине. Она позволяет выполнять команды, поддерживать связь с командно-контрольным сервером (C2-сервером) и доставлять дополнительную полезную нагрузку. Проще говоря, злоумышленник получает постоянный доступ к чужому компьютеру. Ему не нужно заново проходить проверки и повторно заражать систему.

Одновременно загрузчик противодействует анализу. Он проверяет, не работает ли он в песочнице - изолированной среде, где образцы изучают в безопасности. Кроме того, программа распознаёт попытки отладки и присутствие инструментов мониторинга. Часть проверок касается самой операционной системы. Если условия кажутся подозрительными, вредоносный код просто не запускается. Поэтому выявить его на ранней стадии непросто. Защитным службам приходится опираться на косвенные признаки.

Главная опасность Pikabot - в закреплении в системе. Программа сохраняет доступ к заражённому компьютеру надолго. Через неё разворачивают дополнительный инструментарий, в том числе платформу Cobalt Strike. Она нужна для управления атакой и перемещения по сети. Далее следуют кража данных и подготовка к запуску программ-вымогателей. Для бизнеса это означает риск простоя, потери информации и денежных убытков. Для государственных организаций - угрозу утечки служебных сведений. Масштаб последствий зависит от того, как быстро атаку заметят.

Меры защиты известны и не требуют редких решений. Прежде всего нужно своевременно обновлять почтовые клиенты и офисные пакеты. Уязвимость в Outlook производители закрыли, однако организации с задержкой установки исправлений остаются в зоне риска. Стоит ограничить переход сотрудников по ссылкам из писем. Доступ к сетевым папкам лучше сузить до необходимого минимума. Двухфакторная аутентификация усложняет захват учётных записей. Резервные копии должны храниться отдельно и регулярно проверяться на восстановление. Обучение сотрудников снижает долю успешных попыток фишинга.

Обстановка вокруг загрузчиков остаётся напряжённой. После вывода Qakbot из строя рынок не опустел. Освободившуюся нишу занимают другие программы со схожими функциями. Pikabot - один из примеров такой смены. Его возвращение в феврале 2024 года показало, что авторы готовы вкладываться в развитие кода. Маскировка усложняется, а способы доставки становятся разнообразнее. Для защитных служб это означает рост нагрузки на системы мониторинга. Организациям стоит исходить из того, что один загрузчик способен привести к полноценной атаке с требованием выкупа.