Зловредный фишинг: злоумышленники используют Google Forms для распространения трояна удалённого доступа

Атака направлена на профессионалов, активно ведущих деловые коммуникации в сети. Вместо традиционного спама в почтовом ящике жертва получает приглашение, например, через LinkedIn, перейти на форму Google Forms для участия в собеседовании, обсуждения проекта или получения финансового документа. Форма выглядит крайне убедительно: она использует логотипы и названия реальных компаний, преимущественно из финансового, логистического, технологического и энергетического секторов. Для придания правдоподобия в форме запрашивается профессиональная информация - опыт работы, образование, что имитирует стандартный процесс найма или делового взаимодействия.

Ключевой элемент атаки - ссылка для скачивания, размещённая в этой форме. Она ведёт на ZIP-архив, загруженный на популярные файлообменные сервисы (Dropbox, filedn.com) или скрытый за сервисами сокращения ссылок (tr.ee, goo.su). Имена архивов также соответствуют деловой тематике: "Project_Information_Summary_2026.zip", "{CompanyName}_GlobalLogistics_Ad_Strategy.zip" или "Collaboration Project with {CompanyName} Company 2026.zip". Это минимизирует подозрения у целевой аудитории.

После загрузки и открытия архива запускается многоэтапный процесс заражения. Внутри архива, наряду с легитимными PDF-файлами (например, описанием вакансии), находятся вредоносные исполняемые файлы. Основная нагрузка скрыта в DLL-библиотеке, часто с именем msimg32.dll, которая запускается с использованием техники подмены DLL (DLL hijacking). Эта техника позволяет обмануть легитимную программу, заставив её загрузить вредоносный код. Маскировка под документ - излюбленный приём злоумышленников, так как пользователи охотнее открывают файлы, выглядящие как стандартные офисные документы или описания.

Специалисты по кибербезопасности обнаружили, что вредоносный код в DLL выполняет ряд операций для обхода защиты. Он проверяет окружение на наличие отладчиков или песочниц (sandbox) с помощью функций IsDebuggerPresent() и time64(), и в случае обнаружения анализа прекращает работу, выводя сообщение об ошибке "This software has expired or debugger detected". Далее код обеспечивает своё закрепление в системе (persistence) через добавление в автозагрузку реестра (ключ CurrentVersion\Run\Miroupdate), после чего извлекает и запускает следующий этап - архив "final.zip".

На следующем этапе в систему распаковывается набор файлов, связанных с Python, включая обфусцированный скрипт (например, config.log или image.mp3). Его выполнение приводит к декодированию и запуску так называемого шелл-кода Donut - инструмента для создания позиционно-независимого кода, который может загружать и выполнять вредоносные модули непосредственно в памяти, минуя запись на диск. Финальной полезной нагрузкой, в данной кампании, является троян удалённого доступа PureHVNC.

PureHVNC относится к модульному RAT, написанному на .NET, и предоставляет злоумышленникам обширный контроль над скомпрометированным устройством. После внедрения, например, в процесс SearchUI.exe, троян начинает сбор системной информации, выполняя WMI-запросы для получения данных об антивирусном ПО, операционной системе и подключённых камерах. Для обеспечения устойчивости он создаёт задание в Планировщике задач Windows с помощью PowerShell-команды, запускаемой с повышенными привилегиями при их наличии.

Главная опасность PureHVNC заключается в его функциях по хищению данных. Троян целенаправленно ищет и извлекает информацию из браузеров (логины, пароли, историю), их расширений, а также из криптовалютных кошельков. Кроме того, он нацелен на данные из мессенджера Telegram и почтового клиента Foxmail. Конфигурация трояна, включая адреса командного сервера (C2), закодирована. В одном из проанализированных случаев использовался сервер с IP 207.148.66[.]14 и портами 56001-56003 для управления ботнетом.

Данная кампания - наглядный пример того, как злоумышленники эксплуатируют доверие пользователей к известным брендам и повседневным инструментам. Google Forms, Dropbox, LinkedIn - все эти сервисы ассоциируются с безопасностью и легитимностью, что снижает уровень критического восприятия у потенциальных жертв. Для специалистов по информационной безопасности это сигнал о необходимости адаптации программ осведомлённости. Сотрудников, особенно в отделах кадров, закупок и продаж, необходимо обучать не только распознаванию фишинговых писем, но и проверке подлинности любых онлайн-форм и запросов на скачивание файлов, даже если они приходят через, казалось бы, надёжные каналы.

Для митигации подобных угроз рекомендуется применять комплексный подход. Технические меры включают настройку почтовых шлюзов и веб-фильтров для блокировки ссылок с сокращателей URL и подозрительных файлообменников, а также использование решений класса EDR для обнаружения аномальной активности, такой подмена DLL, выполнение шелл-кода Donut или создание подозрительных заданий в Планировщике задач. На организационном уровне критически важна процедура верификации: любой запрос на скачивание файла или предоставление информации, полученный через неофициальные каналы, должен подтверждаться через проверенные контакты компании-отправителя. Бдительность и следование принципу нулевого доверия (Zero Trust) к неверифицированным источникам остаются ключевыми элементами защиты от изощрённых атак, использующих социальную инженерию.