Атакуващите превръщат ежедневните бизнес имейли в машини за разпространение на зловреден код

Атакуващите превръщат рутинните бизнес оплаквания в капани със зловреден код. Съобщение за повредена пратка или искане за възстановяване на сума може да изглежда съвсем обикновено, но едно щракване отвежда служителите до фалшива страница за изтегляне и вреден ZIP архив.

Кампанията беше насочена към организации със съобщения на японски и корейски език в периода между юли и август 2026 г. Повреда на продукти, проблеми с доставката и искания за замяна създаваха усещане за спешност, докато връзките изглеждаха така, сякаш съдържат документи или видеоклипове.

Анализатори от ITOCHU Cyber & Intelligence Inc. идентифицираха тази активност и откриха страници, предлагащи виетнамски, английски, китайски, японски и корейски език. Този избор на езици подсказва, че операцията може да се разпростре в Източна и Югоизточна Азия.

Въздействието надхвърля рамките на един опасен прикачен файл. Жертвите могат да получат PureRAT, инструмент за отдалечен достъп, или PureLogs, софтуер за кражба на информация. И двата представляват рискове за чувствителни бизнес данни и предоставят на атакуващите начини да поддържат достъп.

От ITOCHU Cyber & Intelligence Inc. заявяват в доклад, споделен с Cyber Security News (CSN), че кампанията многократно е променяла софтуера, използван за инсталиране на нейния зловреден код. Обикновеното блокиране на базата на файлове може да пропусне варианти, особено когато заети екипи обработват рутинна кореспонденция с клиенти.

Превръщане на бизнес имейлите в машини за доставка на зловреден код

Примамките звучат като нормална последваща бизнес кореспонденция. На получателите се съобщава, че дадена артикул е пристигнал повреден, че има наличен запис или че искане за възстановяване на сума трябва да бъде прегледано. Съобщението ги пренасочва към сайт, маскиран като услуга за споделяне на документи или преглед на видеоклипове.

Целевата страница твърди, че файлът е твърде голям за преглед, и иска от посетителите да изтеглят ZIP архив. Някои страници променят езика си въз основа на настройките на браузъра и местоположението, докато посетителите от мобилни устройства виждат съобщение, което предотвратява изтеглянето, ограничавайки излагането при проверка.

Това наподобява по-ранни атаки със зловреден код в архиви, при които даден архив крие изпълним файл зад познато име на документ. Тук един от образците използва двойно разширение, за да накара EXE файл да изглежда като PDF.

Архивите обикновено сдвояват изпълнимия файл с DLL. Един от образците използва легитимна програма, подписана от Microsoft, за зареждане на злонамерен DLL файл, който е бил скрит и допълнен с ненужни данни.

Този допълнителен обем може да затрудни инструментите за сигурност, които имат ограничения за размера на файла, позволявайки на веригата за инфектиране да продължи, преди алармите да достигнат до екипа по сигурността.

Заглавните части на имейлите предоставят улики. Видимият подател изглежда като адрес за поддръжка, но Reply-To сочи към несвързан профил в Outlook или Hotmail. Споделените идентификатори и общият формат на изпращане подсказват, че съобщенията произхождат от една и съща среда за доставка.

Организациите трябва да потвърждават неочакваните искания за възстановяване на суми чрез отделен, доверен канал, преди да отварят връзки. Филтрите могат да маркират съмнителни сайтове за споделяне, докато персоналът трябва да докладва за непоискани оплаквания, които изискват изтегляне на архив.

Смяната на товарачите крие кражбата на данни

След като бъдат отворени, файловете стартират многослойна верига на инфектиране. Изследователите съобщават за комбиниран софтуер на Python, модифициран товарач Donut и код, който се изпълнява в паметта, като всеки маршрут е проектиран така, че да скрие крайния зловреден код.

Вариантите осигуряват устойчивост чрез преки пътища в Startup, планирани задачи или записи в системния регистър (Registry). Други се опитват да отслабят сканирането и регистрирането на събития в Windows, докато един използва подписан, но уязвим драйвер, за да прекрати процесите на продукти за сигурност.

Това повтаря атаките с злоупотреба с доверени драйвери, при които атакуващите се възползват от достъп с високи привилегии в системата, за да заглушат защитите. Екипите по сигурността трябва да разследват неочаквани инсталации на драйвери, нови услуги, планирани задачи и спрели процеси за сигурност.

PureRAT докладва детайли за операционната система, активните прозорци, потребителските имена, продуктите за сигурност, състоянието на уеб камерата и екранни снимки към своя управляващ сървър. Той може да краде информация от браузъри, портфейли за криптовалута и приложения за съобщения, превръщайки първоначалния имейл във входна точка към по-широко компрометиране.

PureLogs събира бисквитки и профили от браузъри, данни от Discord, екранни снимки и резултати от търсене на файлове. Крайният зловреден код остава разпознаваем сред различните образци, но променящите се товарачи правят откриването въз основа само на известни файлови хешове ненадеждно.

Защитниците трябва да блокират посочените индикатори, да следят за архиви, съдържащи маскирани изпълними файлове, и да преглеждат предупрежденията за зареждане отстрани на DLL (DLL side-loading) и промени в устойчивостта.

Неотдавнашните фишинг кампании с фалшиво споделяне на файлове показват защо изглеждащите като доверени портали заслужават същото внимание, както и неочакваните прикачени файлове в имейли.

Комбинирането на проверки на имейли, мониторинг на поведението и бързо докладване от страна на служителите предлага по-силна защита от която и да е единична файлова сигнатура. Искането за обезщетение за щети може да е нормален бизнес трафик, но изненадата под формата на заявка за изтегляне заслужава по-обстойно внимание.

Индикатори за компрометиране (IoCs):-

Забележка: IP адресите и домейните са умишлено обезвредени (напр. [.]), за да се предотврати случайно решаване на имена или хипервръзки. Възстановете ги само в рамките на контролирани платформи за анализ на киберзаплахи като MISP, VirusTotal или вашата SIEM система.