Larva-25012 возобновил распространение прокси-ВПО через заражённые системы

Во второй половине 2026 года Larva-25012 возобновил распространение прокси-программ, преимущественно используя уже заражённые системы, а не новый способ первоначального доступа. Недавняя активность опиралась на JavaScript-вариант DPLoader, а атакующий развернул DigitalPulse, SOAX, Appsalt и IPRoyal. Активность затронула множество систем, в том числе объекты в Южной Корее.

Предыдущие способы первоначального доступа и работа DPLoader

В предыдущих кампаниях использовались:

• всплывающие объявления на бесплатных сайтах для загрузки видео с YouTube;
• репозитории GitHub, выдававшие себя за инструменты очистки Steam;
• страницы для загрузки нелегальных программных ключей.

Ранее установленное вредоносное ПО установило Node.js с помощью команды Python, а затем создало запись в Планировщике заданий Windows для многократного выполнения обфусцированного JavaScript. DPLoader собирал базовую информацию о системе и периодически отправлял её на сервер управления. В зависимости от ответа сервера он мог выполнять команды PowerShell. Наблюдаемые команды использовались для загрузки и установки прокси-программ.

Развёртывание прокси-программ

DigitalPulse установили в виде файла PlutonAgent.exe. Для сохранения присутствия программа создавала запланированную задачу PlutonAgentScheduler. Скрипт установки также пытался отключить Microsoft Defender.

SOAX применял аналогичный процесс установки на основе PowerShell, создавал задачу EnterpriseMgmtServicesScheduler и отправлял результаты выполнения либо сообщения об ошибках на удалённый адрес. Appsalt использовал задачу SecurityHealthServiceSyncUpdate и разворачивался вместе с DLL-библиотекой SDK и загрузчиком. Загрузчик вызывал функцию appsalt_init(), передавая токен, контролируемый атакующим.

IPRoyal использовал тот же общий подход к установке и создавал задачу BackgroundTaskRegistrationMaintenanceTaskScheduler. Некоторые образцы DigitalPulse применяли обфускацию или внедряли код в процесс Explorer для обхода обнаружения.

Атакующий также использовал прокси-программы, распространяемые в виде комплектов средств разработки SDK, объединяя SDK с загрузчиком и предоставляя API или токен, контролируемый атакующим. Эти операции перехватывали сетевую пропускную способность жертв для генерации дохода атакующего без соответствующего разрешения.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.