Нова кампания за разпространение на DCRat използва познат графичен формат за скриване на опасен архив със зловреден код. Операцията започва с фишинг имейли, които се представят за съдебни известия и приканват получателите да отворят прикачен SVG файл.
Прикаченият файл изглежда безопасен, тъй като SVG файловете обикновено се използват за графики. В този случай обаче файлът съдържа скрит код, който сглобява и изтегля защитен с парола архив директно в браузъра на жертвата.
Анализаторите от Trellix идентифицираха кампанията след разследване на сигнал от клиент в началото на 2026 г. Изследователите установиха, че атакуващите комбинират социално инженерство, скрит код в браузъра, DLL sideloading (странично зареждане на DLL библиотеки) и process hollowing (кухи процеси), за да внедрят DCRat в доверен процес на Windows.
Методите за разпространение на зловредния код DCRat също така показват как атакуващите продължават да адаптират инструмента за отдалечен достъп за различни канали за доставка. От Trellix посочват в доклад, споделен с Cyber Security News (CSN), че DCRat, известен още като DarkCrystal RAT, предоставя на операторите отдалечен достъп до заразените системи. Този достъп може да се използва за изпълнение на команди, събиране на данни, поддържане на контрол и комуникация със сървър за управление и контрол (C&C).
Кампанията подчертава как привидно обикновени файлове могат да се превърнат в първата стъпка към много по-сериозен пробив. Фишинг примамката имитира колумбийско съдебно известие, озаглавено „Resolución Denuncia Jurídica“. Когато получателят отвори прикачения SVG файл, се показва фалшив портал за консултация на граждани, създаден да придаде официален вид на съобщението. Кликването върху страницата пренасочва жертвата към друг екран, който твърди, че изтеглянето на файл е завършило. Страницата предоставя паролата „1601“, насърчавайки получателя да отвори архива и намалявайки подозрението чрез инсцениран, изглеждащ достоверно процес.
Зад визуалното съдържание SVG файлът включва двойно Base64-кодиран JavaScript. Скриптът декодира съдържанието си и използва функцията Blob на браузъра, за да възстанови архив в паметта, преди да го запише като „DOC-16-ENE-2026 RESOLUCION DENUNCIA JURIDICA.7z“. Този метод е известен като HTML smuggling. Той позволява на киберпрестъпниците да скрият злонамерено изтегляне в рамките на файл, който инструментите за сигурност на електронната поща могат да третират като изображение, а не като изпълним файл или скрипт.
Подобни тактики за доставка чрез HTML smuggling са били използвани за изграждане на вредно съдържание локално, след като жертвата отвори прикачен файл. Тактиката е важна, тъй като пренася част от атаката в браузъра. Инструментите за сигурност, проверяващи входящия имейл, могат да видят само прикачен SVG файл, докато зловредният архив се сглобява едва след като получателят си взаимодейства с него. SVG файловете могат да съдържат активно уеб съдържание, въпреки че се представят като графики. Последните кампании с компрометирани SVG файлове илюстрират защо организациите трябва да се отнасят към неочаквани прикачени изображения със същата предпазливост, както към HTML файлове, архиви и изпълними файлове.
Изтегленият архив съдържа примамка (изпълним файл) и няколко DLL файла, направени да приличат на компоненти за компресиране Brotli. Основният изпълним файл зарежда „libbrotlidec.dll“ и „libbrotlienc.dll“, което позволява на атакуващите да експлоатират поведението на Windows при търсене на DLL файлове. Когато жертвата стартира програмата примамка, операционната система зарежда предоставените от атакуващия библиотеки от същата папка. Тази техника (DLL sideloading) кара злонамерената дейност да изглежда свързана с нормално приложение и може да затрудни ранното откриване.
Зареждащата програма (loader) създава папка в потребителската директория, копира файлове в нея и установява устойчивост чрез запис в системния регистър на Windows (Registry Run). След това тя декриптира следващия етап от злонамерения код в паметта, намалявайки количеството на очевидно зловреден материал, записан на диска. Зловредният код стартира „AddInProcess32.exe“ в спряно състояние, заменя оригиналната му памет със злонамерен код и възобновява процеса. Този метод (process hollowing) позволява на DCRat да работи под името на легитимен компонент на Windows, като същевременно запазва възможностите си за отдалечен контрол. Крайният зловреден код DCRat използва криптирана комуникация, проверки срещу анализ, контроли за устойчивост и многократни опити за връзка със своята инфраструктура за управление и контрол.
Изследователите отбелязват, че идентифицираният сървър е бил недостъпен по време на анализа, но зловредният софтуер е продължил да се опитва да се свърже отново. Организациите трябва да засилят проверката на SVG и HTML прикачени файлове, да инспектират неочаквани изтегляния на архиви и да наблюдават за необичайно зареждане на DLL файлове и създаване на процеси. Екипите трябва също така да съпоставят поведението на крайните устройства с мрежовата активност, да проверяват целостта на файловете, да търсят подозрителни записи в Registry Run и да поддържат добра хигиена по отношение на инсталирането на корекции за сигурност. Обучението за повишаване на осведомеността остава важно, тъй като тази верига от събития все още зависи от това потребителят да отвори прикачения файл и да стартира извлечения файл.