C2Looper е наскоро идентифициран бекдор, който дава на атакуващите дискретен начин за контрол над компрометиран компютър с Windows.
Той може да изпълнява команди, да проверява мрежата на жертвата и да сваля допълнителен зловреден софтуер, което го прави сериозна заплаха за организации, изправени пред атаки с цел изнудване (ransomware). Скромният му набор от функции е достатъчен, за да даде на оператора трайна отправна точка в корпоративната среда.
Смята се, че заплахата се разпространява чрез многостепенна верига от типа „ClickFix“, при която жертвите биват убеждавани да изпълнят команда под предлог, че коригират проблем с браузъра или системата. Този подход съвпада с последните вериги за доставка на „ClickFix“, които превръщат потребителското действие в първоначален достъп.
Анализаторите от Zscaler идентифицираха C2Looper през юли 2026 г. и оценяват, с ниска до средна степен на увереност, че той е свързан с киберпрестъпник, занимаващ се с ренсъмуеър. В доклад, споделен с Cyber Security News (CSN), Zscaler посочва, че зловредният код все още се разработва и разширява. Според доклада той вероятно се използва за установяване на позиции за странично движение (lateral movement) в мрежата. Идентичността на атакуващия остава непотвърдена на този етап, което оставя отворени въпроси за защитниците, проследяващи потенциална ренсъмуеър активност в засегнатите мрежи.
C2Looper се обновява чрез OneDrive DLL Sideloading
По-старият вариант на C2Looper използва команда за качване, за да изтегли изпълним файл и да го съхрани като DLL в локалната папка на Microsoft OneDrive на потребителя. След това спира процеса на OneDrive и разчита на легитимния изпълним файл на OneDrive за зареждане на засадената библиотека. Тази техника се нарича DLL sideloading. Програмите за Windows понякога зареждат поддържащи библиотеки от собствените си работни папки и атакуващите експлоатират това поведение, като поставят зловреден файл с очакваното име до доверена програма. Видимият процес може да изглежда нормален, дори докато се изпълнява зловреден код.
Изследователите вярват, че този процес е механизмът за обновяване на C2Looper, позволяващ на атакуващите да заменят или обновяват бекдора, като избягват вниманието. Това също така показва защо защитниците трябва да проверяват необичайни дъщерни процеси, неочаквани DLL файлове и внезапни рестартирания на OneDrive, вместо да се доверяват на познат изпълним файл само по името му.
Методът се вписва в по-широк модел, при който атакуващите използват реномиран софтуер, за да скрият дейността си. Наскоро документиран случай на злоупотреба с подписан софтуер по подобен начин показа как легитимни, подписани приложения могат да помогнат за стартирането на зловредни компоненти след стръв тип „ClickFix“.
C2 в GitHub разширява контрола на атакуващите
Първата версия на C2Looper е проверявала своя сървър по некриптиран HTTP, изпращайки потребителско име, име на хост и ID на процеса, преди да изисква задачи всяка секунда. Тя е можела да отвори отдалечен шел (remote shell), да изпълнява команди и да изтегля допълнителни файлове, създавайки практическа база за разузнаване и последващо движение в мрежата. По-ранната версия съдържа и грешка при парсването на ID на задачите, но този дефект е коригиран във версия 2.
По-нов вариант, вътрешно обозначен като версия 2, премества цялата дейност по командване и контрол (C2) в GitHub. Всяка заразена машина получава директория в хранилище (repository), като cmd.json пренася инструкциите, result.json съдържа изхода от командите, а beacon.json записва идентификатора на бота и времето на последната успешна заявка. Използването на масова платформа за хостване на код може да затрудни отделянето на зловредния трафик от нормалната бизнес дейност. Изборът отразява по-широкото използване на командни канали, базирани на GitHub, и означава, че екипите за сигурност трябва да разследват непознати хранилища, автоматизиран достъп и внезапни изходящи връзки, свързани със подозрителни процеси.
Версия 2 също така добавя списък с файлове, разширено откриване на хостове и функция за инжектиране на код. Разузнаването събира подробности за домейни, акаунти, софтуер и дискове – информация, която може да помогне на атакуващия да картографира ценни системи, преди да разгърне друг зловреден код или ренсъмуеър. Ревизираната команда за качване извлича файлове от специална папка на хранилището във временната директория на Windows (Temp), докато командата за изпълнение стартира файл и го изтрива след успешно изпълнение. Изходът от командите сега се прихваща чрез тръбопроводи на Windows (pipes) вместо да се използва по-стар локален изходен файл, което премахва един очевиден артефакт. Това подобрение предполага, че разработчиците реагират на оперативни слабости при подобряването на инструмента.
Докладваната връзка на кампанията с „ClickFix“ прави важно повишаването на информираността на потребителите, но техническият контрол е също толкова важен. Организациите трябва да ограничат изпълнението на ненужни скриптове, да следят за подозрителни зареждания на DLL файлове в OneDrive и да преглеждат предупреждения, свързани с фалшиви подкани за проверка, както е описано в последните модели на атаки „ClickFix“.