Исследователи Cisco Talos обнаружили новую тревожную тенденцию: киберпреступники начали активно использовать легитимные платформы для автоматизации рабочих процессов на базе искусственного интеллекта (ИИ) в качестве инструмента для проведения изощрённых атак. В фокусе внимания специалистов оказалась популярная платформа n8n, которую злоумышленники применяют для доставки вредоносного программного обеспечения и снятия цифровых отпечатков устройств жертв, маскируя свою активность под доверенные сервисы. Эта тактика позволяет обходить традиционные фильтры безопасности, превращая инструменты для повышения продуктивности в каналы для получения постоянного удалённого доступа к системам.
Описание
Платформы автоматизации рабочих процессов, такие как Zapier и n8n, изначально созданы для интеграции различных приложений, например, Slack, Google Таблиц или Gmail, с моделями ИИ вроде GPT-4 от OpenAI или Claude от Anthropic. Их гибкость и мощь, открывающие новые возможности для бизнеса и разработчиков, к сожалению, оказались востребованы и в криминальной среде. Подобно другим легальным инструментам, эти платформы можно "вооружить" для организации вредоносных активностей, таких как рассылка автоматизированных писем с опасной нагрузкой.
N8n - это платформа с открытым исходным кодом, позволяющая создавать сложные цепочки действий (воркфлоу) между веб-приложениями и сервисами через их API. Пользователи могут зарегистрировать бесплатный аккаунт разработчика, что создаёт для них персональный субдомен на доверенном домене n8n[.]cloud. Именно эта особенность - легитимность исходного домена - становится ключевым фактором успеха атак. Как отмечают исследователи Talos, основная точка злоупотребления в n8n - это публично доступные вебхуки. Вебхук, или "обратный API", - это специальный URL-адрес, который позволяет одному приложению в реальном времени отправлять данные другому. Когда по такому URL поступает запрос, например, при открытии письма получателем, запускается запрограммированный воркфлоу, результат выполнения которого возвращается в браузер жертвы как веб-страница.
Объём писем, содержащих ссылки на вебхуки n8n, резко вырос за последний год. По данным на март 2026 года, их количество примерно на 686% превысило показатели января 2025-го. Этот всплеск напрямую связан с несколькими случаями злонамеренного использования платформы. Поскольку вебхуки маскируют истинный источник доставляемых данных, они могут подавать вредоносную нагрузку с недоверенных серверов, при этом для систем безопасности и пользователя она будет выглядеть исходящей от надёжного домена n8n[.]cloud. Более того, вебхуки могут динамически менять выдаваемый контент в зависимости от параметров запроса, таких как заголовок User-Agent, что позволяет тонко настраивать атаку под конкретную жертву.
Один из наблюдаемых исследователями фишинговых кампаний использовала ссылку на вебхук n8n в письмах, маскировавшихся под уведомление о совместном доступе к папке Microsoft OneDrive. При переходе по ссылке жертва видела веб-страницу с CAPTCHA. После её успешного решения появлялась кнопка загрузки, инициирующая скачивание исполняемого файла. Весь процесс был инкапсулирован в JavaScript на странице, поэтому браузер считал, что файл загружается именно с домена n8n. Полезной нагрузкой выступал файл DownloadedOneDriveDocument.exe, маскировавшийся под самораспаковывающийся архив. На деле он устанавливал модифицированную версию инструмента удалённого мониторинга и управления (RMM) Datto, после чего выполнял цепочку команд PowerShell для его настройки, запуска и закрепления в системе через планировщик заданий. Это обеспечивало злоумышленникам постоянный удалённый доступ.
В другой схожей кампании после прохождения упрощённой CAPTCHA жертве подсовывался вредоносный установщик MSI, защищённый упаковщиком Armadillo для затруднения анализа. Он внедрял в систему другой бэкдор - инструмент ITarian Endpoint Management RMM, который, работая под видом легитимного софта, выполнял Python-модули для кражи информации. При этом жертве демонстрировался фейковый прогресс-бар установки, создававший иллюзию сбоя.
Помимо доставки вредоносного ПО, n8n активно используется для снятия цифровых отпечатков устройства и отслеживания факта открытия письма. Эта техника реализуется через вставку в тело письма невидимого изображения (трекера), источником которого является URL вебхука n8n. Когда почтовый клиент, например Outlook или Gmail, пытается загрузить это изображение, он автоматически отправляет HTTP-запрос на указанный адрес. Вместе с запросом передаются служебные данные, включая параметры, уникально идентифицирующие получателя (например, его email-адрес), а также информацию о браузере и системе. Это позволяет злоумышленникам не только подтверждать активность почтового ящика, но и собирать технические данные о жертве для последующих целенаправленных атак.
Обнаруженные кейсы наглядно демонстрируют, как технологии, созданные для экономии времени и упрощения работы, могут быть обращены против пользователей. Гибкость, лёгкость интеграции и мощные возможности автоматизации делают low-code платформы привлекательной мишенью для злоумышленников. Этот тренд подчёркивает необходимость для специалистов по информационной безопасности пересматривать подходы к защите, уделяя повышенное внимание мониторингу трафика, исходящего даже с доверенных на первый взгляд доменов, и обучению пользователей распознаванию сложных фишинговых схем, где легитимная оболочка скрывает опасное содержимое.
Индикаторы компрометации
URLs
- https://majormetalcsorp.com/Openfolder
- https://monicasue.app.n8n.cloud/webhook/download-file-92684bb4-ee1d-4806-a264-50bfeb750dab
- https://onedrivedownload.zoholandingpage.com/my-workspace/DownloadedOneDrive
- https://pagepoinnc.app.n8n.cloud/webhook/downloading-1a92cb4f-cff3-449d-8bdd-ec439b4b3496
SHA256
- 7f30259d72eb7432b2454c07be83365ecfa835188185b35b30d11654aadf86a0
- 93a09e54e607930dfc068fcbc7ea2c2ea776c504aa20a8ca12100a28cfdcc75a
