TimbreStealer атакует компании Мексики через фишинг и DLL Side-Loading

Сложное вредоносное программное обеспечение TimbreStealer, раскрытое благодаря телеметрии WatchGuard и детальному исследованию Эйлера Нету и Кристибаля Тарраги, демонстрирует тревожную эволюцию целевого фишинга. Кампания, нацеленная преимущественно на компании в Мексике, сочетает социальную инженерию с передовыми техниками уклонения и ярко выраженным геофенсингом, что делает её особенно опасной для организаций, связанных с мексиканским рынком. Многие тактики этого ВПО перекликаются с атаками, ранее задокументированными Cisco Talos, однако TimbreStealer выводит обфускацию и избирательность на новый уровень.

Вектор заражения и социальная инженерия

Первоначальное проникновение реализуется через фишинговую схему, доставляющую жертве ZIP-архив. Ссылки на загрузку размещены на облачной инфраструктуре DigitalOcean, причём злоумышленники предоставляют прямой доступ по IP-адресам хостов. Содержимое архива манипулирует контекстом, знакомым целевой аудитории: имена файлов связаны с мексиканской системой электронного инвойсинга (CFDI), что значительно повышает вероятность запуска вредоносного кода бухгалтерами, менеджерами и другими сотрудниками, регулярно работающими с фискальными документами.

DLL Side-Loading и аномальная структура файлов

Ключевой техникой маскировки стал метод DLL Side-Loading. Злоумышленники используют крупные вредоносные DLL-файлы размером от 45 до 50 МБ, которые выдаются за легитимные компоненты обновления Windows — например, EdgeUpdate или GoogleUpdater. Оригинальные системные файлы обычно не превышают 500 КБ, поэтому несоответствие размеров должно настораживать защитников.

Внутренний анализ DLL выявил структуру с 27 секциями, однако информационным наполнением обладают лишь пять из них. Такая манипуляция выделенными пространствами памяти преследует исключительно злонамеренные цели — динамическую загрузку кода и обход традиционных сигнатурных сканеров. Главная точка входа спроектирована так, чтобы выполнять вредоносные действия в обход типичных методов идентификации загруженных модулей, что дополнительно усложняет детектирование.

Что ищет TimbreStealer в скомпрометированной системе

После успешного запуска ВПО агрессивно собирает конфиденциальные пользовательские данные, нацеливаясь на содержимое браузеров и почтовых приложений:

• браузеры — особое внимание уделено Mozilla Firefox;
• почтовые клиенты — Thunderbird и Postbox также находятся под прицелом.

Извлечённая информация может использоваться для дальнейших финансовых махинаций, компрометации учётных записей и углублённого шпионажа за инфраструктурой жертвы.

Геофенсинг: вредоносный код с ограниченной «пропиской»

Отличительной чертой TimbreStealer стало условное выполнение кода на основе географических проверок. ВПО анализирует среду, включая вызовы функции GetTimeZoneInformation, чтобы удостовериться, что вредонос запущен в часовых поясах, привязанных к Мексике. Если атакованное устройство или песочница исследователя находится за пределами целевого региона, кампания самоуничтожается — вместо реальной вредоносной нагрузки предоставляется безобидный пустой PDF-файл. Такая техника геофенсинга демонстрирует не только зрелость разработчиков, но и подчёркивает исключительную направленность операции на мексиканские организации.

Что это значит для защиты

TimbreStealer иллюстрирует, насколько эффективной может быть регионально-специфичная социальная инженерия в сочетании с легитимной облачной инфраструктурой и продуманной обфускацией. Для специалистов по кибербезопасности эта кампания выдвигает на передний план несколько критически важных мер:

• Усилить контроль за входящими ZIP-файлами, особенно если их имена связаны с CFDI и аналогичной фискальной тематикой.
• Мониторить аномальные характеристики DLL, обращая особое внимание на несоответствие размеров файлов легитимным эталонам (например, EdgeUpdate или GoogleUpdater, превышающие 500 КБ).
• Отслеживать неожиданные поведения приложений и сетевые соединения с ресурсами DigitalOcean по прямым IP-адресам.
• Развивать у сотрудников навыки распознавания контекстно-ориентированных фишинговых писем, особенно тех, что апеллируют к местным бизнес-процессам и финансовой документации.

Сложная природа TimbreStealer подтверждает, что организациям, работающим на мексиканском рынке или подверженным его влиянию, требуется повышенная осведомлённость и проактивный мониторинг, а географическая избирательность атаки больше не является экзотикой, а становится стандартом для злоумышленников.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.