C2Looper: Rust-бэкдор использует GitHub как C2-канал
C2Looper — это бэкдор на базе Rust, выявленный в июле 2026 года и оцененный как потенциально связанный с деятельностью, связанной с вымогательством. Он предоставляет злоумышленникам начальную точку для разведки, перемещения внутри сети, выполнения команд и развертывания дополнительных полезных нагрузок.
Вредоносное ПО считается находящимся в активной разработке, при этом вторая версия вводит расширенную функциональность и управление на основе GitHub (C2). Исследователи с низкой или средней уверенностью оценивают, что C2Looper может доставляться через многоэтапную цепочку атаки ClickFix.
Технические детали
Все выявленные варианты шифруют встроенные строки с помощью побитовой операции XOR с общим восьмибайтовым ключом. Вредоносное ПО динамически разрешает API-интерфейсы Windows во время выполнения с помощью LoadLibrary и GetProcAddress, что уменьшает количество статически импортируемых функций и усложняет анализ.
Первая версия: HTTP-бэкдор
Оригинальная версия взаимодействует со своим C2-сервером по незашифрованному HTTP. Она периодически отправляет информацию о хосте в виде JSON-объекта через HTTP POST-запрос на /api/beacon, повторяя запрос примерно каждую секунду для получения задач.
Данные beacon-агента включают:
- имя пользователя скомпрометированной системы;
- DNS-имя хоста;
- идентификатор процесса C2Looper;
- идентификатор бота, сгенерированный из имени пользователя и имени хоста.
Бэкдор поддерживает команды для:
- выполнения произвольных или удаленных команд оболочки;
- сбора информации о системе;
- выполнения разведки;
- загрузки или развертывания бинарных файлов второго этапа.
Его функция загрузки также использовалась для доставки новой версии вредоносного ПО.
Вторая версия: управление через GitHub
Версия 2 C2Looper изменяет модель коммуникации, используя GitHub для операций C2, включая получение команд, эксфильтрацию собранных данных и хранение вывода команд. Вместо традиционных конечных точек C2 вредоносное ПО создает каталог для каждого бота в репозитории GitHub и обменивается файлами JSON.
Запросы beacon-агента версии 2 содержат только имя пользователя хоста и локальную временную метку. Удалено поле JSON ok, исправлена проблема с парсингом, связанная с идентификатором задачи seq, и добавлены или изменены команды.
Встроенный отладочный текст, включая «v2» и «pongv2», указывает на внутреннее обозначение разработчика для данного выпуска.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
