TamperedChef: стиллер из вредоносной рекламы, закреплённый через Node.js
В августе 2025 года на конечной точке пользователя было зафиксировано обнаружение вредоносного ПО TamperedChef. Инцидент начался с вредоносной рекламы (malvertising), которая привела к загрузке троянской утилиты AllManualsReader и далее — к развёртыванию более сложной цепочки атак, направленной на кражу конфиденциальных данных.
Краткий ход инцидента
Расследование показало следующую последовательность событий:
- Пользователь подвергся drive-by компрометации через вредоносную рекламу (malvertising), в результате чего на машину попал троян AllManualsReader.
- В процессе заражения на диск была сброшена упакованная среда выполнения Node.js runtime в каталог, доступный для записи пользователем.
- Вредоносное ПО выполняло JavaScript-код через командную строку, запуская cmd.exe /min.
- Для закрепления в системе было создано расписание — запланированная задача, настроенная на повторный запуск Node.js executable каждые 12 часов с рандомизированной задержкой, чтобы затруднить обнаружение.
- Исходящая связь организовывалась по стандартным Web-протоколам и использовала размещённую в облаке IP-инфраструктуру для операций управления и контроля (C2).
Технический анализ
Ключевые технические моменты инцидента заслуживают отдельного внимания:
- Исполнение через Node.js: использование упакованного Node.js runtime позволяет злоумышленникам запускать сложные JavaScript-модули вне стандартных браузеров и расширяет набор доступных возможностей для сбора данных и сетевого взаимодействия.
- Метод закрепления: reliance исключительно на запланированной задаче (Task Scheduler) — простая, но эффективная техника для обеспечения выживания между перезагрузками. Рандомизация задержки снижает детектируемость по регулярным сигнатурам активности.
- Коммуникации C2: использование облачной IP-инфраструктуры и стандартных Web-протоколов усложняет блокировку и маскирует трафик под легитимные запросы.
- Поведение при заражении: на начальных этапах не выявлялось очевидно деструктивных действий — основная активность совпадает с паттерном information stealer.
По данным расследования: «на основании наблюдаемого поведения и отсутствия последующей разрушительной активности, основная цель оператора TamperedChef, скорее всего — эксфильтрация конфиденциальных данных, а не непосредственное саботирование системы».
Оценка намерений и риск
Анализ поведения указывает на приоритет сбора и извлечения информации: атакующие, скорее всего, ориентировались на учетные данные, файлы конфигурации, cookie и другую конфиденциальную информацию, доступную на конечной точке. Отсутствие немедленных «взрывных» действий иногда свидетельствует о целенаправленном и поэтапном подходе к атаке, где начальная компрометация — лишь первая ступень.
Рекомендации по обнаружению и реагированию
Практические шаги, которые помогут обнаружить и нейтрализовать аналогичные инциденты:
- Проверить Task Scheduler на наличие неизвестных или подозрительных задач, настроенных на регулярный запуск Node.js executable с интервалом ~12 часов;
- Искать нетипичные установки Node.js runtime в пользовательских или временных каталогах (writable directories); стандартные установки обычно находятся в контролируемых системных путях;
- Мониторить исходящие соединения по стандартным Web-протоколам к неизвестным или облачным IP-адресам; уделять внимание аномалиям в частоте и объёме трафика;
- Провести детальную проверку на наличие AllManualsReader и сопутствующих артефактов; удалить вредоносные бинарники и расписания, затем выполнить полное сканирование EDR/AV;
- Обновить браузеры, блокировать агрессивные рекламные сети и использовать фильтрацию malvertising на уровне прокси/фильтров рекламы;
- Ввести меры по снижению привилегий записи в пользовательских каталогах и ограничить возможность запуска неподписанных исполняемых файлов;
- Повысить осведомлённость пользователей о рисках кликов по рекламе и подозрительных ссылках.
Вывод
Инцидент с TamperedChef демонстрирует, как относительно простые векторные элементы — malvertising и троянское ПО — могут стать входной точкой для развертывания более сложной платформы на базе Node.js и организации скрытых каналов управления. Ключ к снижению риска — оперативное обнаружение нестандартных запусков Node.js в пользовательских каталогах, тщательная проверка запланированных задач и проактивная фильтрация вредоносной рекламы.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
