PhantomEnigma: вредоносная кампания атакует банки через госсайты Бразилии

Масштабная киберкампания, нацеленная на банковские организации и государственные системы, долгое время оставалась незамеченной благодаря использованию доверенной инфраструктуры. Специалисты ANY.RUN раскрыли операцию PhantomEnigma — сложную и многоуровневую атаку, в которой злоумышленники превратили официальные ресурсы бразильского правительства в стартовую площадку для целевого вредоносного воздействия.

Правительственный щит для фишинга: доставка через .gov.br

Ключевым фактором успеха PhantomEnigma стала эксплуатация как минимум 20 скомпрометированных муниципальных и полицейских сайтов в доменной зоне .gov.br. Этот прием позволил атакующим не просто размещать вредоносный контент, но и кардинально повысить доставляемость фишинговых писем. Исходящие с легитимных правительственных доменов сообщения автоматически проходили базовые протоколы аутентификации электронной почты без каких-либо подозрений:

• SPF
• DKIM
• DMARC

Для придания достоверности попыткам обмана применялись поддельные документы полицейской тематики. Жертва получала письмо, внешне ничем не отличавшееся от официального уведомления государственного органа, что значительно снижало порог критичности. Активность также связана с операцией Ofício-PC по quishing — злоумышленники использовали обманные PDF-файлы, направлявшие пользователей на вредоносные ресурсы.

Технический арсенал: двойная природа бэкдора

Глубокий sandbox-анализ поведения вредоносного ПО позволил выявить уникальный бэкдор, построенный на комбинации двух различных технологических стеков:

• Delphi/Inno Setup
• Node.js/Electron

Такая гибридная конструкция обеспечивает одновременно скрытность и широкие функциональные возможности. Модульная архитектура позволяет бэкдору выполнять произвольный JavaScript-код, надежно закрепляться в пораженных системах и поддерживать устойчивую связь с командными серверами (C2).

Эволюция угрозы: от банковского трояна к легитимному приложению

Расследование зафиксировало отчетливый тактический сдвиг в развитии кампании. Если изначально PhantomEnigma фокусировалась на краже банковских данных через вредоносные расширения браузера, то позже операторы перешли к значительно более изощренной схеме.

Конечным полезным грузом стала модифицированная версия популярного приложения для создания заметок Boostnote. С виду легитимный софт выступал лишь оболочкой для модульного бэкдора. Жертва устанавливала хорошо знакомый инструмент, а фактически запускала средство глубокого проникновения в корпоративный или государственный контур. Такой подход резко повысил сложность обнаружения как на этапе внедрения, так и в процессе операционной активности ВПО.

Инфраструктура-хамелеон

Одной из самых серьезных проблем для защитников стала динамическая природа инфраструктуры PhantomEnigma. Злоумышленники постоянно манипулируют доменами и URL-адресами, смешивая реальные ресурсы с фишинговыми страницами. Регулярно меняющиеся домены размывают границы между легитимной и вредоносной активностью, делая статические блокировки неэффективными.

Аналитики ANY.RUN подчеркивают фундаментальную особенность: традиционная охота за единичными индикаторами компрометации (домены, IP-адреса) в данной кампании практически бесполезна.

«Ключевое значение для выявления PhantomEnigma приобретают не отдельные домены или IP, а устойчивые повторяющиеся паттерны: конкретные цепочки сборки и шаблоны коммуникации вредоносного ПО», — отметили исследователи.

Последствия и стратегия защиты

Воздействие кампании на целевые сектора носит критический характер. Среди основных рисков — прямые финансовые потери, серьезные операционные сбои и раскрытие конфиденциальных данных. Постоянный характер присутствия ВПО в инфраструктуре и доверенный вид каналов доставки фактически нейтрализуют классические защитные механизмы, опирающиеся на репутацию источника.

Эксперты рекомендуют командам безопасности сделать ставку на поведенческий анализ, способный детектировать подозрительные процессы даже внутри подписанных и легитимно выглядящих приложений. Критически важным становится мониторинг скомпрометированной государственной инфраструктуры как одного из самых опасных векторов современных атак.

«Сосредоточьтесь на выявлении повторяющихся характеристик сборки и адаптируйте системы защиты к стремительно изменяющейся инфраструктуре. Только такой подход позволит повысить возможности обнаружения и своевременного реагирования», — резюмировали в отчете.

История PhantomEnigma служит жестким напоминанием: даже критически важная государственная инфраструктура в руках умелых атакующих превращается в инструмент взлома, требующий от защитников полной смены парадигмы — от статической защиты к непрерывной эволюции средств детектирования.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.