Изследователи по киберсигурност обърнаха внимание на нов модулен зловреден софтуер, наречен TELEPUZ, който се разпространява чрез уебсайтове, инфектирани с примамки ClickFix от края на април 2026 г.

„Зловредният софтуер е пълнофункционален, лек и модулен“, заявява Сирил Франсоа, изследовател от Elastic Security Labs, в технически доклад. „Въпреки че броят на C2 [командни и контролни] домейни в момента е малък, дневният обем на компилациите, качени в VirusTotal, и бързият темп на актуализации показват активно разработване и вероятен по-нататъшен растеж.“

Разкритието го прави втория злонамерен субект след SCMBANKER, който се разпространява чрез ClickFix – широко разпространена атака от тип социално инженерство, която подмамва потребителите ръчно да изпълняват зловредни команди, като ги маскира като безобидни корекции за фалшиви грешки в браузъра, софтуерни актуализации или CAPTCHA проверки.

В основата на тази техника е подход, наречен „отвличане на клипборда“. Тъй като уеб страниците, използващи ClickFix, инжектират зловреден скрипт или команди в клипборда на потенциалната жертва и предоставят инструкции за поставянето и стартирането им, този метод е известен също като „pastejacking“.

Веригата на атака ClickFix, свързана с TELEPUZ, води до изпълнение на PowerShell, който изтегля злонамерен код от втори етап от отдалечен URL адрес и го изпълнява. Злонамереният код е Go вариант на Vidar Stealer, който е известен с това, че събира чувствителни данни от компрометирани хостове и внедрява вторичен зловреден софтуер – в този случай стартиращ (stager) двоичен файл, отговорен за стартирането на TELEPUZ („telepuz.dll“) с помощта на „rundll32.exe“. И стартиращият файл, и основната DLL библиотека се изтеглят от домейна „hurgadatour[.]shop“.

Написан на C, TELEPUZ е лек и модулен и показва признаци, че е разработен от независим разработчик или много малък екип с опит в програмирането. Постоянният обем от ежедневни изпращания към VirusTotal, свързани със заплахата, предполага, че тя вероятно се предлага под модела „зловреден софтуер като услуга“ (MaaS).

TELEPUZ също така включва редица техники за обфускация с цел възпрепятстване на усилията за анализ, като например паразитни инструкции без функционално предназначение, хеширане на имена при импортиране за извикване на функции, криптиране на низове и индиректни системни повиквания.

След това софтуерът извършва проверки за виртуални машини и геолокация, като проверява хардуерните ограничения (например дали машината има по-малко от два процесора, под 2GB памет или недостатъчно дисково пространство) и се уверява, че локалният идентификатор на системата (LCID) не е сред твърдо кодирания списък с държави от Общността на независимите държави (ОНД).

Освен това зловредният софтуер сравнява текущото потребителско име и името на компютъра с твърдо кодиран списък с често срещани идентификатори на изолирани среди и среди за анализ на зловреден софтуер. Целта на тези проверки е незабавно прекратяване на изпълнението, ако бъде открита изолирана среда, виртуализирана среда или неоторизирано географско местоположение.

След като преминат всички проверки, TELEPUZ предприема стъпки за деактивиране на мониторинга на сигурността чрез премахване на куки (unhooking) от NTDLL, изключване на Antimalware Scan Interface (AMSI) и Event Tracing for Windows (ETW), както и премахване на външни обратни повиквания DllNotification, които позволяват на дадено приложение да получава известия при зареждане или премахване на DLL файл.

Процедурата за избягване на защитата е последвана от проверки за откриване на дебъгери и опити за блокирането им. След това се извлича идентификаторът на родителския процес и се валидира името му спрямо списък с известни стартери като „rundll32.exe“ и „svchost.exe“. В последната фаза се генерира уникален идентификатор на жертвата, получен чрез комбиниране на хардуерния сериен номер, името на компютъра и датата на инсталиране на операционната система.

„След успешна идентификация на сесията, зловредният софтуер стартира две паралелни нишки: едната е посветена на ескалация на привилегиите и инсталиране на зловредния софтуер като системна услуга, а другата – на стартиране на цикъла за връзка с C2 сървъра“, обяснява Франсоа. „Нишката за инсталиране започва с повишаване на правата до администраторски посредством COM техниката за ескалация на привилегии.“

„При постигане на повишени права и в зависимост от конфигурацията, TELEPUZ се опитва да придобие SYSTEM привилегии чрез кражба на токен от първия намерен процес с някое от следните имена: spoolsv.exe, msdtc.exe, WmiPrvSE.exe, svchost.exe. След това се регистрира като услуга, създавайки необходимите ключове в регистъра, за да укаже на Windows да зареди зловредния софтуер в рамките на нов процес svchost.exe.“

Успоредно с това софтуерът прави до 10 опита за установяване на връзка със своя C2 сървър. Ако те са неуспешни, TELEPUZ се опитва да извлече резервния C2 адрес чрез четири различни метода:

  • Чрез извличане на криптиран URL адрес от описанието на Telegram профил („t[.]me/chanadarkpart“), създаден на 28 април 2026 г.
  • Чрез извличане на криптиран URL адрес от профил в Steam Community, който сочи към същия C2 адрес, намерен в Telegram канала.
  • Чрез изпълнение на DNS заявка за домейна codebasecode[.]com, извличайки и декриптирайки резервния C2 адрес.
  • Чрез извличане на криптиран URL адрес от смарт договор в блокчейна на Polygon.

TELEPUZ използва C2 сървъра за установяване на комуникация с помощта на WebSockets...