Фишинг через JavaScript и PowerShell доставляет Phantom Stealer
В современном ландшафте киберугроз наблюдается тревожный тренд: злоумышленники делают ставку не на взлом сложных периметров, а на эксплуатацию человеческого фактора через социальную инженерию. Аналитики фиксируют новую волну многоступенчатых фишинговых атак, направленных на кражу конфиденциальных данных. Ключевой особенностью кампаний является их мимикрия под легитимные источники и использование исключительно скрытных механизмов доставки вредоносной нагрузки в память системы.
Вектор атаки: игра на срочности и доверии
Злоумышленники используют проверенную тактику выдачи себя за официальные организации, с которыми бизнес взаимодействует на ежедневной основе. В рамках текущих операций эксперты выделяют два основных сценария обмана:
- Логистические уведомления: Подделка сообщений от службы доставки UPS с информацией о статусе заказа.
- Фискальное давление: Имитация запроса на налоговую проверку от имени Внутреннего налогового управления Малайзии (LHDN).
Несмотря на признаки использования злоумышленниками переработанных шаблонов, расчет делается на эмоциональную реакцию жертвы. Знакомый домен и ощущение срочности провоцируют пользователя открыть вложение до того, как будут замечены технические несоответствия в письме.
Цепочка заражения: от архива до бесфайлового выполнения
Техническая реализация угрозы выделяется своей эшелонированной структурой. Входной точкой служит сжатое архивное вложение, содержащее вредоносный JavaScript-файл, замаскированный под бизнес-документацию. Процесс заражения разбивается на несколько этапов, чтобы минимизировать вероятность детектирования средствами статического анализа:
- Этап 1 — Загрузчик: JavaScript инициирует выполнение обфусцированного скрипта PowerShell. Код извлекает встроенную полезную нагрузку, закодированную в Base64, и запускает её непосредственно в оперативной памяти.
- Этап 2 — Промежуточные стадии: Аналитики выявили два варианта PowerShell-загрузчиков. Первый использует шифрование AES для сокрытия следующего модуля, в то время как второй напрямую ведет к декодированию основной угрозы.
Инструмент финальной стадии: Phantom Stealer v3.5.0
Кульминацией атаки становится запуск Phantom Stealer v3.5.0. Данный вредонос представляет собой продвинутый инжектор, работающий в памяти и специализирующийся на сборе конфиденциальной информации. Он системно перечисляет пользовательские профили и установленные приложения для извлечения следующих данных:
- Учетные данные из браузеров и системных хранилищ;
- Файлы cookie активных сессий;
- Финансовая информация и криптовалютные кошельки.
Механизм эксфильтрации реализован с расчетом на маскировку под легитимный трафик. Вредонос устанавливает SMTP-сессию с использованием зашифрованных учетных данных, внедренных в его тело. Украденные данные архивируются в несколько файлов и отправляются на заранее определенный адрес электронной почты злоумышленников. Коммуникация защищается с помощью TLS, что делает перехват трафика на уровне сети неинформативным без глубокой инспекции.
Рекомендации по защите
Хотя кампания пока не атрибутирована конкретной группировке, уровень ее сложности демонстрирует эволюцию фишинговых стратегий в сторону скрытности и многоэтапности. Организациям рекомендуется сфокусироваться на протоколах безопасности, препятствующих выполнению цепочки атаки на ранних стадиях:
- Управление политиками скриптов: Ограничение выполнения PowerShell и JavaScript на пользовательских рабочих станциях, особенно в контексте, не требующем административных задач.
- Мониторинг SMTP-трафика: Выявление аномального исходящего трафика на 25/587 порты с корпоративных хостов, минуя штатные почтовые серверы.
- Изоляция памяти: Внедрение решений, способных сканировать поведение процессов в runtime для обнаружения бесфайловых инжектов Phantom Stealer.
- Повышение осведомленности: Тренинг сотрудников на предмет распознавания шаблонов срочности в фишинговых письмах, маскирующихся под логистические и налоговые службы.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
