Falcon компрометирует браузеры через скрипты и вредоносное расширение
С марта по май 2026 года кампании с использованием Falcon были направлены против государственных структур одной страны Ближнего Востока и четырёх стран Юго-Восточной Азии. Среди целей были организации в сферах иностранных дел, полиции, юстиции и вооружённых сил. В одном случае внедрённый код на портале Roundcube министерства иностранных дел перехватывал учётные данные и позволял следить за сессиями. В этой стране затронуты 39 инстанций.
Возможности фреймворка Falcon
Falcon, также известный как XG или Xiàng Gē, представляет собой фреймворк управления на JavaScript. Он компрометирует браузеры с помощью скриптов, внедрённых в сайты или доставленных через вредоносное расширение. Имплант генерируется отдельно для каждой сессии браузера. Для связи с сервером Falcon использует WebSockets с шифрованием AES и TLS. В качестве резервного протокола доступен Comet, но передаваемая через него полезная нагрузка не шифруется.
Оператор может выполнять произвольный JavaScript. Falcon также собирает сведения о сессии: посещённую страницу, домен, строку User Agent браузера и IP-адрес клиента. URL-паттерны, последовательность доставки полезной нагрузки, механизмы шифрования и похожие на Baidu Analytics идентификаторы сессий тесно соответствуют фреймворку PeckBirdy. Это сходство указывает на то, что Falcon и PeckBirdy, вероятно, представляют собой связанные варианты.
Расширение Falcon для Chrome маскируется под просмотрщик PDF. Для запуска импланта оно использует фоновый сервис-воркер, offscreen-документ и песочницу. Расширение также может задействовать браузер жертвы как прокси-сервер и отправлять запросы с её cookie и учётными данными для доступа к аутентифицированным или внутренним ресурсам. Среди других возможностей Falcon:
- перехват и подмена загружаемых файлов;
- перехват веб-запросов;
- сбор данных из буфера обмена;
- мониторинг учётных данных, истории браузера и загрузок;
- извлечение данных из Discord, Zalo, Gmail и X/Twitter.
Перехваченные данные могут храниться в кэше до тех пор, пока оператор не укажет отправить их.
Кампании против государственных структур
В кампании, связанной с полицией, Falcon собирал имена пользователей и показывал целевым пользователям поддельное уведомление об обновлении Adobe Flash. Через это уведомление доставлялся имплант Antino. В другой кампании использовалось загруженное в обход расширение для Chrome, работавшее в режиме разработчика.
Имплант Antino и управление через OneDrive
Antino написан на Rust. Его конфигурация закодирована с помощью XOR и хранится в PE-файле. Она содержит учётные данные Microsoft OneDrive и комментарий к кампании. Для закрепления Antino использует ключ Run в реестре Windows и запускается с помощью утилиты Microsoft Scripted Diagnostic Native Host.
Для управления и контроля Antino использует OneDrive. Имплант загружает файлы JSON со сведениями о хосте и пользователе, чтобы отправлять сигналы активности, а также проверяет наличие файлов с командами. Кроме того, Antino поддерживает выполнение скриптов на языке Rhai.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
