Кампания ChimeraC2 скомпрометировала систему Windows через ClickFix
28 сентября 2026 года кампания ChimeraC2 с помощью атаки ClickFix привела к компрометации системы Windows. Жертву убедили вставить и выполнить многострочный сценарий PowerShell: он объединял содержимое буфера обмена и запускал его с помощью Invoke-Expression. Сценарий обращался к репозиториям GitHub за полезной нагрузкой update.dat и использовал резервные репозитории, если основная загрузка не удавалась.
Устройство полезной нагрузки и связь с сервером
update.dat оказался необфусцированным бинарным файлом .NET, защищённым с помощью Anti-ILDASM и методов обфускации .NET. После деобфускации исследователи обнаружили, что файл устанавливает соединение WebSocket с сервером C2, адрес которого жёстко задан в коде. Каждая сборка содержала уникальный токен. Если токена не было, программа генерировала его с помощью Guid.NewGuid().ToString().ToUpper().
Клиент регистрировался на сервере и переходил в цикл обработки команд. Сообщения C2 разделялись строкой ## и направлялись в зависимости от имени команды. Одной из ключевых возможностей был собственный TCP-ретранслятор с функциями socks_connect, socks_data и socks_close. Несмотря на названия, связанные с SOCKS, ретранслятор не поддерживал стандартные согласование соединения и аутентификацию SOCKS. Операторы могли использовать сетевое положение скомпрометированного хоста для подключения к множеству внутренних систем и сервисов.
Команды и сбор данных
Фреймворк поддерживал удалённое выполнение команд CMD и PowerShell, просмотр и загрузку файлов, перечисление процессов и установленного программного обеспечения. Также среди его возможностей были обнаружение сервисов и пользователей, сетевая разведка и проверка установленных исправлений (hotfixes).
Сервер C2 мог развертывать wpv.exe и wcv.exe. Судя по строкам и сообщениям журнала, эти файлы нацелены на пароли и файлы cookie браузера, однако их выполнение не наблюдалось. Другие команды поддерживали обнаружение кошельков и расширений браузера, кражу кошельков с помощью загружаемого сценария PowerShell и сбор результатов в ZIP-архив.
Панель управления содержала ссылки и на другие возможности, которые не развернули либо назначение которых осталось неопределённым. Среди них были кража данных из буфера обмена, регистрация нажатий клавиш и извлечение данных из памяти.
Закрепление и разрушительные возможности
Для закрепления использовалась запланированная задача с описанием, замаскированным под описание, связанное с WhatsApp Desktop*. Вредоносная программа также перечисляла записи реестра для удаления примерно 70 продуктов антивирусной защиты. По-видимому, это помогало операторам оценивать риск обнаружения.
Деструктивная функция «brickBot» могла отключать или удалять критически важные компоненты загрузки и ядра Windows: текущий элемент загрузки, winload.efi, hal.dll и ntoskrnl.exe. Затем выполнялась немедленная принудительная перезагрузка.
Приписывание кампании ранее сообщённой группе Chimera остаётся неподтверждённым.
* WhatsApp — мессенджер, принадлежит запрещённой в России и признанной экстремистской американской корпорации Meta.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
