Хакеры используют баннеры FTP-серверов для распространения нового вредоносного ПО для Windows.

[zender]

Злоумышленники используют FTP-баннеры для сокрытия команд, которые запускают два ранее не описанных трояна удаленного доступа под названиями E4del и PINHOLE.


Команда MalwareHunterTeam обнаружила эту необычную технику в июле в ходе атаки, в которой использовались файлы ярлыков (.LNK) и баннеры FTP-серверов в качестве средств перехвата команд (DDR).


FTP-баннеры — это текстовые строки, которые сервер использует в качестве приветственного сообщения для подключающихся хостов перед их авторизацией.

Внедряя команды в первоначальный ответ, отправляемый при подключении скомпрометированной системы к FTP-серверу, злоумышленник, внедряющий вредоносное ПО, может получать инструкции с удаленного сервера.


После обнаружения в ходе расследования использования FTP-баннеров для доставки вредоносных команд исследователи платформы анализа угроз SOCRadar расширили свою работу и выяснили, что эта техника по-прежнему используется.


«Используя поисковые запросы FOFA, мы установили, что эта технология используется в качестве оружия с начала июля 2026 года и остается в силе, при этом новая инфраструктура была обнаружена совсем недавно, в августе 2026 года».


В отчете, предоставленном BleepingComputer, SOCRadar сообщает, что наблюдаемые атаки начинаются с ZIP-архива, который запускает цепочку заражения на основе LNK. Исследователи отмечают, что первоначальное заражение, вероятно, происходит посредством фишинга.



LNK-файл извлекает данные из баннеров FTP-сервера.
Источник: SOCRadar

Цепочка заражения распространяет два троянских коня удаленного доступа (RAT) под названиями E4del и PINHOLE по двум различным путям заражения, при этом оба загружают скрипт PowerShell из FTP-баннеров.


E4del — это RAT-программа на основе Node.js, упакованная в приложение Electron с цифровой подписью, которое маскируется под Discord.


RAT поддерживает выполнение команд через постоянные или временные оболочки, создание снимков экрана, потоковую передачу рабочего стола через WebSockets, а также загрузку и выполнение дополнительных полезных нагрузок.


В SOCRadar также упоминается модуль Node.js под названием crypto32.node , который пытается повысить привилегии, но исследователям не удалось получить его для анализа.



Цепочка доставки E4del RAT
Источник: SOCRadar

PINHOLE получает конфигурацию C2 из пинов Pinterest и вопросов опросов SurveyMonkey, что обеспечивает универсальность и устойчивость к удалению контента.


Вредоносная программа оставляет минимальный след на хосте, используя колебания шеллкода, чтобы одновременно хранить в памяти только один 4-килобайтный фрагмент полезной нагрузки, и внедряя финальную сборку в приостановленный процесс ApplicationFrameHost.exe с помощью инъекции Early Bird APC.


PINHOLE поддерживает 14 команд, включая перечисление файлов, загрузку и скачивание файлов, выполнение команд, управление процессами, создание скриншотов и развертывание модуля для кражи учетных данных, хранящихся в браузерах.



Цепочка выполнения PINHOLE и поддерживаемые команды
Источник: SOCRadar

На момент анализа скрипт PINHOLE зафиксировал всего 11 событий выполнения, что позволяет предположить, что кампания находилась на ранней стадии.


Хотя использование FTP-баннеров для доставки команд является новаторской альтернативой, SOCRadar утверждает, что этот подход менее скрытен, чем традиционные веб-сервисы DDR (например, X, GitHub, YouTube), поскольку FTP-соединения с неизвестными серверами с большей вероятностью будут заметны.


«В то время как злоумышленники обычно используют легитимные веб-сервисы, такие как X, GitHub или YouTube, для обеспечения прикрытия за счет большого объема ожидаемого сетевого трафика, FTP-баннеры представляют собой новую альтернативу».


Исследователи отмечают, что эта методика очень универсальна и может быть «легко» адаптирована для кампаний социальной инженерии ClickFix.


В отчете SOCRadar представлены индикаторы компрометации, которые могут помочь специалистам по кибербезопасности выявить вредоносную инфраструктуру, а также зараженные машины в сети.

Источник