Larva-24009: фишинг, PowerShell и удалённый контроль заражённых систем
Larva-24009: охота на предприятия через LNK, PowerShell и Telegram API
Злоумышленник, получивший идентификатор Larva-24009, как минимум с 2023 года ведёт последовательные атаки на организации в Южной Корее и за её пределами. Расследование его кампаний в 2026 году вскрыло отработанную схему проникновения, заметно эволюционировавшие инструменты и устойчивый интерес к данным жертв.
Начало вторжения: фишинг, LNK и многоступенчатые скрипты
Основным вектором остаются фишинговые письма с вредоносными LNK-файлами. При запуске такого файла активируются зашифрованные PowerShell-команды. Они одновременно создают в системной временной папке документ-приманку — чтобы не вызывать подозрений — и незаметно загружают с управляющего сервера (C&C) дополнительные скрипты.
Анализ зафиксировал разнообразие тематик, нацеленных именно на деловую среду:
- опросы от имени больниц;
- обсуждения блокчейн-проектов;
- предложения о сотрудничестве и проектные инициативы;
- рассылка поддельных резюме.
Закрепление и обход защиты
После доставки начальный PowerShell-скрипт решает две критические задачи. Во-первых, обеспечивает закрепление (persistence) в системе — вредоносное программное обеспечение регулярно перезапускается через запланированные задания. Во-вторых, целенаправленно отключает Windows Defender, чтобы беспрепятственно развивать атаку.
Эволюция Notifier: Telegram API вместо общего C&C
Особого внимания заслуживает обновление компонента Notifier до версии 2.1. Ранние образцы передавали статус заражения через общий C&C-сервер. Теперь данные уходят напрямую злоумышленнику через Telegram API. Этот шаг усложняет отслеживание управляющей инфраструктуры и делает её более отказоустойчивой.
Полный удалённый контроль: Quasar RAT, UltraVNC и RDP
Для манипуляции скомпрометированными устройствами внедряются легитимные инструменты в злонамеренном контексте — Quasar RAT и UltraVNC Server. В процессе их настройки открываются порты 5800 и 5900, давая злоумышленнику доступ к экрану системы. Собранные данные указывают, что в сочетании с ними также эксплуатируется или может быть задействован протокол Remote Desktop Protocol (RDP), многократно усиливая контроль над жертвой.
Кража данных: NirSoft, скриншоты и keylogging в OneDrive
Сбор информации — одна из ключевых целей кампаний. Злоумышленник применяет утилиты от NirSoft для извлечения учётных записей и сохранённых паролей. Параллельно PowerShell-скрипты делают снимки экрана, а специальное keylogging-вредоносное ПО фиксирует все нажатия клавиш. Журналы нажатий спрятаны в заранее заданных каталогах Microsoft OneDrive, что обеспечивает практически незаметную эксфильтрацию конфиденциальной информации.
Выводы и меры защиты
Larva-24009 демонстрирует, как фишинговые тактики и многоуровневый вредоносный инструментарий систематически превращают точечное заражение в устойчивую компрометацию. Постоянная модернизация их методов — от обновления Notifier до усложнения каналов C&C — подчёркивает критическую необходимость настороженного отношения к любым почтовым вложениям и исполняемым файлам, особенно полученным из ненадёжных источников. Регулярное обновление программного обеспечения безопасности также имеет критическое значение для усиления защиты от подобных киберугроз.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
