Атакуващи изпращат фалшиви съдебни уведомления до организации в Колумбия и ги използват за инсталиране на XWorm – инструмент за отдалечен достъп (RAT), който предоставя на престъпниците пълен контрол върху заразен компютър. Имейлите изглеждат като истински официални правни писма.
Прикачените файлове представляват скрити Windows скриптове, които незабележимо стартират инфекцията. Примамката сработва, тъй като малко хора биха пренебрегнали съобщение, гласящо, че съдебно дело изисква спешно внимание. Имейлите са написани на испански език и изглеждат изпратени от колумбийски организации.
Имената на файловете копират реални административни и правни документи, така че зает служител може да отвори файла, без да се замисли. Зад този файл стои дълга верига от скрити стъпки, подобна на новата верига за заразяване с XWorm, наблюдавана през миналата година.
Изследователи от Arctic Wolf Labs публикуваха своите открития в GitHub на 26 октомври 2026 г. Те отбелязват, че кампанията е насочена срещу колумбийски организации.
Те също така установиха, че финалният зареждач (loader) съвпада с използван в отделен случай с XWorm от септември 2026 г., свързан с Обединеното кралство, което предполага, че атакуващите преизползват своите инструменти.
Хакери използват фалшиви съдебни призовки
Заразяването започва с имейл, който съдържа VBScript или JavaScript файл. Някои файлове пристигат в ZIP архиви, а файловете от втория етап се изтеглят от публични услуги за хостинг на файлове като Filestack и ImageKit.
Имена на файлове като „ACTA_NOTIFICA_TUTELA.js“ и „PROCESO DISCIPLINARIO_ RAD_00470032.vbs“ имат за цел да наподобяват автентични правни документи.
Съдилищата в Колумбия са често срещана тема за местните киберпрестъпници, като същият похват се появи и във фишинг кампании, свързани с групата Blind Eagle, които също използваха фалшиви съдебни съобщения.
След като жертвата отвори скрипта, той не показва никакво предупреждение. Вместо това задейства скрита PowerShell команда. Скриптът е силно обфускиран (scrambled), за да избегне засичане.
Версията на VBScript използва персонализиран Base93 декодер и няколко слоя криптиране, докато образците на JavaScript разчитат на други методи за криптиране и произволно генерирани имена на функции. Това силно затруднява антивирусните инструменти да разпознаят истинската цел на файла.
Скритият PowerShell код след това разопакова два файла: .NET DLL библиотека с име RSG_UnityApp и самата програма XWorm. PowerShell зарежда DLL библиотеката и ѝ предава пътя към RegAsm.exe – легитимен системен инструмент на Windows – заедно с кода на XWorm.
Зареждачът инжектира XWorm в RegAsm.exe, така че зловредният софтуер се изпълнява вътре в легитимна на вид програма. Екипите по сигурност, които наблюдават единствено за неизвестни файлове, лесно могат да пропуснат тази стъпка.
Възможности на XWorm и начини за защита
След като се стартира, XWorm прочита своите скрити настройки и се свързва с командния си сървър. Той изпраща обратно подробности за компютъра, включително потребителско име, данни за системата, хардуер, статус на антивирусния софтуер и наличие на уеб камера.
Трафикът се криптира с AES-128-ECB, като всяко съобщение започва с неговата дължина, последвана от нулев байт (null byte). Изследователите са наблюдавали команди за изпълнение на shell инструкции, заснемане на екрана, управление на файлове, зареждане на плъгини и генериране на DDoS трафик.
XWorm се разпространява като услуга (MaaS), което позволява на множество престъпници да го закупят, и често заема челни места в седмичните класации за заплахи от зловреден софтуер. Изследователите са открили три командни сървъра, като същите сървъри се появяват и в публични регистри на изолирани среди (sandboxes) под различни хешове на образци и мутексове.
Това показва наличието на няколко отделни компилации, които споделят една и съща инфраструктура. Arctic Wolf също така са наблюдавали същия зареждач да доставя DCRat в друг образец.
Защитниците трябва да следят за процеси wscript.exe или cscript.exe, които стартират PowerShell, особено със скрити или кодирани команди. Те също така трябва да регистрират като подозрителни случаи, в които RegAsm.exe стартира след PowerShell, създава временно спрени (suspended) процеси или осъществява мрежови връзки.
Проверката на DNS логовете и записите на защитната стена за изброените по-долу домейни и портове е бърз метод за откриване на компрометирани системи. Служителите трябва да потвърждават всяко съдебно уведомление по официален канал и никога да не отварят неочаквани скриптови файлове, които са сред най-често срещаните методи за разпространение на XWorm.
Индикатори за компрометиране (IoCs):-
| Type | Indicator | Notes |
|---|---|---|
| C2 domain/port | loganwolverin2042[.]webredirect[.]org | TCP/4521 |
| C2 domain/port | ukranieukranie20222022[.]duckdns[.]org | TCP/3008 |
| C2 IP/port | 45[.]92[.]1[.]127 | TCP/1177 |
| C2 IP/port | 77[.]110[.]114[.]115 | TCP/3008 |
| Download URL | https[:]//cdn[.]filestackcontent[.]com/B7hA66RuGnT1LRjBp2Ax | Second stage |
| Download URL | https[:]//cdn[.]filestackcontent[.]com/OjJYVfNcSaCemmakSzPg | Second stage |
| Download URL | https[:]//cdn[.]filestackcontent[.]com/dXsER20oSBCJeqtF4yq7 | Second stage |
| Download URL | https[:]//cdn[.]filestackcontent[.]com/3LI5K6STzaI8VOvBgmga | Second stage |
| Download URL | https[:]//ik[.]imagekit[.]io/randiatmv9/NOTIFICA_ACTO_PROCESO_TUTELA_PDF[.]zip | Second stage |
| SHA256 | 57ae80bcc2028621086781da603110b8d6abddb840f4ba0f3395e40c8b1cbf74 | Downloaded file B7hA66RuGnT1LRjBp2Ax |
| SHA256 | 6b5487998547ea629340689b76a6e7b3bdcd5f605a452ede5294fe2053b952d9 | PROCESO DISCIPLINARIO_ RAD_00470032.vbs |
| SHA256 | fe34be2cee9ba40f0e6ce4dc509ba85b79851ca9d08bf8a878602300486674e2 | RSG_UnityApp .NET loader DLL |
| SHA256 | ea0832705c8f8c368f4d4fb9eb15ddd64df1859e12af19a2e9b13280b2139bbe | XWorm payload |
| SHA256 | 554b95378744def1b8024bd01bd28f982bc093d29d847548fd0e1316e1fc19bb | Downloaded file OjJYVfNcSaCemmakSzPg |
| SHA256 | 50897e5d87ad9e05bdf9bc2cbb5b9fe1ebacb1c9a2b55a566d4ba4d10e035ab2 | ACTA_NOTIFICA_TUTELA.js |
| SHA256 | 2d45e12ed77718927dbc36fa81f61333c32a549d214a651bc12043acef7fe260 | XWorm payload |
| SHA256 | a6c17d8b864940327a98e2f3b7d3b57360d2a05ce85d48cdcd38a1b5bd3a7442 | Downloaded file dXsER20oSBCJeqtF4yq7 |
| SHA256 | 2e91c4624bc0fcc7674bcc80d778067913daa07a3516acbfc1d08ba76ce1737f | VER_SENTENCIA_ACCION_TUTELA_PRIEMRA_INSTANCIA_200156001.js |
| SHA256 | 35b48c18d49c8c714935af51e01660da3efb5e239bc2fd7136727220e6f41130 | XWorm payload |
| SHA256 | 0f202abc036b66c3fcb993d58631c63207f6ea3ac56f87051855ad2af35c0292 | NOTIFICA_ACTO_PROCESO_TUTELA_PDF.js |
| SHA256 | daf6416515b7503a1572ad4ac3a0057585238583c37eaa23d11468d10b5283a5 | NOTIFICA_ACTO_PROCESO_TUTELA_PDF.zip |
| SHA256 | 7020fbd08fdde0a2c1a9c11ec11bdf3be9a6f3b58a78fbfe907fccc11eb404ca | XWorm payload |
| SHA256 | db0e4f1afc7d9036c4561a582af57dbe0f0826b03b266c2cb99d2fb07fc5c242 | Downloaded file 3LI5K6STzaI8VOvBgmga |
| SHA256 | e514e981d7db3f74c878d7eab9ed6d1aaa3c37cd9cd239f86abcc2df6d2711ee | CUMPLIMIENTO-CONTRATO-RADICADO.js |
| SHA256 | 8da000dac095000fb4167db27aaf2810ac13a1e0815736ead22d93fefa5bb90e | XWorm payload |
| SHA256 | cabb31719b9297b71e446fcdd4bdf4dcb9fb3f93f4d7eb8054cd7e82d11372b3 | Third-party MalwareBazaar sample tied to the same endpoint |
| IP address | 31[.]77[.]220[.]100 | Resolved loganwolverin2042 on October 14 |
| IP address | 13[.]143[.]144[.]177 | Resolved loganwolverin2042 on October 12, 13 |
| IP address | 45[.]88[.]186[.]191 | Resolved loganwolverin2042 on October 19 |
| IP address | 77[.]110[.]114[.]115 | Resolved ukranieukranie20222022 on October 19 |
| Mutex | nLWzeTbvXzjAxooJ | Group: zzzzzzzzzzzzzzzzzzzzzzzzzzClientOTHER |
| Mutex | bqHmkD44JB1XWaPz | Group: MAXI073 |
| Mutex | ELxcVIaozcn8SSiv | Group: COLEGIO |
| Mutex | DiIAYaBQsJDcp2xo | Group: MAXI064 |
| Config | USB.exe | Configured file name in all four builds |
Бележка: IP адресите и домейните умишлено са неутрализирани (напр. [.]), за да се предотврати случайно разрешаване на имена или препращане към тях. Възстановете оригиналния вид само в контролирани платформи за анализ на заплахи като MISP, VirusTotal или вашата SIEM система.