Свързани с Иран оператори използват доверен инструмент за разработчици, за да скрият задна вратичка (backdoor), наречена Dindoor, в среди на Windows.
Зловредният код използва средата за изпълнение на JavaScript и TypeScript Deno, за да изпълнява кодиран код, което помага на дейността му да се слее с легитимното използване на софтуер.
Dindoor се появява като зловреден код на по-късен етап при операции с целеви фишинг (spearphishing). Изследователите го наблюдаваха в софтуерни и банкови организации в САЩ и в канадска неправителствена организация, което демонстрира обхвата му в различни сектори.
Анализатори от Binary Defense започнаха да проследяват задната вратичка в началото на 2026 г. и свързаха дейността с MuddyWater, иранска група за кибершпионаж (автор на заплахи).
Binary Defense заяви в доклад, споделен с Cyber Security News (CSN), че Dindoor комбинира подписана среда за изпълнение, Base64 кодиране и проверки за избягване на анализ.
Този подход е важен, тъй като не разчита на един необичаен изпълним файл, който да бъде блокиран. Вместо това той превръща познати помощни програми на Windows и легитимна среда за изпълнение в части от една верига за доставка, правейки легитимно изглеждащата дейност опасна в грешен контекст.
Свързани с Иран хакери злоупотребяват с легитимен инструмент за разработчици
Инфектирането започва, след като по-ранен етап на фишинг разположи своя зареждащ модул (loader) на дадено устройство. Той проверява дали Deno вече е инсталиран; ако не е, използва curl за получаване на средата за изпълнение, след което я стартира с дълъг Base64-кодиран аргумент, съдържащ кода на Dindoor.
Това решение дава на операторите полезно прикритие. Deno е подписан софтуер, използван за изпълнение на JavaScript и TypeScript, така че присъствието му не е автоматично подозрително.
Въпреки това, неочаквана инсталация на работна станция, която не е на разработчик, заслужава внимание след фишинг или необичайна активност на скриптове.
Първият скрипт събира информация за компрометирания хост, отваря комуникация с отдалечен сървър и компилира втори зловреден код.
Този втори етап извлича и стартира трети етап, създавайки многослойна верига, която може да усложни разследването и позволява на операторите да променят по-късните компоненти.
Финалният етап първо проверява графичния адаптер на машината чрез PowerShell заявка към Windows Management Instrumentation.
Имена, свързани с VMware, VirtualBox, QXL или Hyper-V, могат да разкрият виртуална или автоматизирана система за анализ, което позволява на зловредния софтуер да спре, преди да изложи на показ по-вредното си поведение.
Едва след този тест Dindoor установява присъствие (persistence). Той създава запис в системния регистър Run на Windows, който стартира VBScript чрез wscript, така че задната вратичка да може да се върне, когато потребителят се впише.
Този поетапен подход наподобява многостепенни зловредни кодове, използвани преди това от MuddyWater за ограничаване на видимостта и поддържане на достъпа.
Мрежовите комуникации на Dindoor използват функцията listen на Deno за създаване на TCP слушател, докато данните са Base64-кодирани за скриване на съдържанието им. Инструментите са легитимни и подписани, така че файловият хеш или статичният подпис могат да уловят само известна версия.
Поради това защитниците трябва да търсят последователността от действия, а не просто подозрителен файл. Сигналите с висока стойност включват Deno, стартиран с необичайно дълъг кодиран аргумент, curl, осъществяващ контакт с домейна за изтегляне на Deno на системи без роля на разработчик, и ключ Run, насочващ wscript към скрипт под AppData Local.
Екипите трябва също така да разследват заявка на PowerShell за графичен адаптер, стартирана от cmd, особено когато тя предшества ново установяване на присъствие.
Този фокус върху поведението подкрепя уроците от по-ранната командна рамка PhonyC2, където проследяването на променящите се методи на групата беше по-полезно от разчитането на името на единичен инструмент.
Екипите могат да намалят излагането на риск, като прегледат използването на Deno, сигнализират за неодобрени изтегляния и съпоставят отчетите за фишинг с телеметрията на процесите и регистъра по време на рутинни прегледи на крайни точки.
Те трябва да валидират инсталациите и да ограничат изпълнението на скриптове, където бизнес нуждите не го оправдават. Кампанията също така затвърждава защо целевият фишинг остава практична входна точка за шпионски групи.
Организациите трябва да комбинират потребителското докладване с контроли, които проверяват прикачени файлове и връзки, и бързо да преглеждат крайните точки след подозрителни съобщения, както се вижда в кампании с легитимни инструменти за отдалечено администриране, приписвани на същия злонамерен субект.
Dindoor не се дефинира от изцяло нова техника. Рискът му се крие в внимателното сглобяване: доверен софтуер, кодирани скриптове, проверка за системи за анализ и присъствие, което се активира само при вероятна реална жертва.
Тази комбинация може да помогне на MuddyWater да запази достъп, като същевременно оставя по-малко очевидни следи за конвенционалните защити.