Специалисты компании Securonix обнаружили многоуровневую вредоносную кампанию, направленную на скрытую установку инструмента удалённого доступа NetSupport RAT. Атака разворачивается через серию тщательно замаскированных этапов, каждый из которых рассчитан на максимальную скрытность и минимальное оставление следов на скомпрометированном устройстве.
Первоначальная загрузка вредоносного кода начинается с JavaScript-файла, внедрённого в взломанные веб-сайты. Этот скрипт имеет сложную структуру и скрытую логику, которая активируется только при выполнении определённых условий. Он способен различать тип устройства пользователя, а также фиксировать факт первого посещения страницы, что позволяет выполнять вредоносные действия всего один раз на каждом устройстве. Если условия совпадают, скрипт либо внедряет в страницу невидимый фрейм, либо подгружает следующий этап — HTML-приложение.
На втором этапе запускается файл HTA, представляющий собой скрытое приложение, исполняемое с помощью штатного инструмента Windows — mshta.exe. Оно извлекает зашифрованный скрипт PowerShell, расшифровывает его через многоступенчатую схему и исполняет непосредственно в памяти. Таким образом, вся вредоносная активность проходит без создания постоянных файлов, что значительно затрудняет её обнаружение антивирусными средствами.
Финальный этап связан с загрузкой и установкой самого NetSupport RAT. Для этого PowerShell-скрипт скачивает архив, распаковывает его в неприметную директорию и запускает исполняемый файл через JScript-обёртку. Для сохранения присутствия в системе создаётся ярлык в автозагрузке под видом компонента обновления Windows. Такой подход позволяет злоумышленникам сохранять доступ даже после перезагрузки устройства.
NetSupport RAT — изначально легитимное средство удалённого администрирования, которое злоумышленники активно используют для шпионажа, кражи данных и удалённого управления. В ходе данной кампании он получает возможность полноценно контролировать заражённую систему, включая перехват ввода с клавиатуры, управление файлами, выполнение команд и использование прокси-функций для перемещения внутри сети.
По оценке специалистов, вредоносная инфраструктура постоянно поддерживается и обновляется, а её архитектура указывает на высокую квалификацию разработчиков. Атака ориентирована на пользователей корпоративных систем и распространяется через подставные сайты и скрытые перенаправления. Несмотря на высокий уровень сложности, пока не удалось установить точную принадлежность операторов к какому-либо известному киберпреступному сообществу.
Обнаруженная кампания подчёркивает важность блокировки исполнения неподписанных скриптов, усиления контроля за поведением системных процессов, мониторинга каталогов автозагрузки и анализа подозрительной сетевой активности. Особое внимание рекомендуется уделить ограничениям использования mshta.exe и отслеживанию попыток загрузки файлов в папки %TEMP% и ProgramData.