В дайджесте за 24 октября – обнаруженная MyCERT кампания в Малайзии: файлы, замаскированные под банковские документы, устанавливали легитимный агент ManageEngine UEMS и подключали его к серверу злоумышленников.


Поддельный документ превращался в канал удалённого управления

MyCERT 24 октября опубликовал разбор кампании, в которой защищённый паролем архив содержал файл с названием PDF-документа. Фактически это был образ виртуального диска VHDX или ISO. Три исследованные сборки датированы 23 и 30 сентября, а также 1 октября 2026 года. Одна связанная инфраструктура оставалась активной во время анализа [1].

Кампания наблюдалась в Малайзии. Имена пострадавших организаций и число заражённых устройств не раскрыты. Названия файлов преимущественно имитировали банковские электронные выписки и другие финансовые документы. При этом MyCERT не смог подтвердить конкретный канал доставки для всех образцов [1].

После монтирования образа пользователь запускал подписанный исполняемый файл легитимного crash-reporting инструмента ArphaSDK. Тот загружал находившуюся рядом вредоносную DLL. Такая техника называется DLL side-loading: доверенная программа запускает библиотеку злоумышленника, потому что ищет её по ожидаемому имени.

Дальнейшая цепочка состояла из четырёх этапов [1]:

  • вредоносная DLL повышала привилегии и создавала каталог C:\kouren или C:\cool;
  • с внешнего сервера загружался второй архив;
  • msiexec без пользовательского интерфейса устанавливал настоящий ManageEngine UEMS Agent 6.0.3;
  • агент регистрировался на сервере атакующих и регулярно соединялся с ним по TCP-порту 8383.

Почему цифровая подпись не помогала

Образ диска снижал вероятность предупреждения SmartScreen или Protected View: после монтирования находящиеся внутри файлы могли не унаследовать метку Mark of the Web. Начальный executable имел действительную цифровую подпись, а финальный агент был настоящим продуктом Zoho. Во время установки злоумышленники добавляли в Windows собственные корневые сертификаты ManageEngine, поэтому соединение с их сервером выглядело как штатный защищённый канал [1].

В результате оператор получал удалённое выполнение команд, передачу файлов и управление приложениями под видом корпоративного средства администрирования. MyCERT рекомендует считать найденный агент полной компрометацией хоста, если он направлен на неизвестный сервер или сопровождается артефактами кампании. Проверка только цифровой подписи здесь не отличает вредоносное развёртывание от легитимного.

MyCERT подтвердил цепочку двумя контролируемыми детонациями и связал три сборки в одну операцию по одинаковому пакету установки, общему подписанному файлу и пересечению инфраструктуры. Kaspersky передала центру реестр из 151 уникального хеша архивов и образов дисков, наблюдавшихся в сентябре и октябре; два контейнера MyCERT вошли в этот набор [1]. Эта цифра относится к файлам, а не к числу жертв.

Атрибуция остаётся предварительной

Kaspersky отслеживает более широкий набор активности под именем SilverFox, или Void Arachne, и MyCERT использует то же обозначение. Однако центр прямо указал, что связь проанализированной операции с конкретной группировкой не подтверждена [1].

Отдельный лабораторный отчёт Deception.Pro от 27 августа описывал похожую технику: приманка в образе диска, последующая установка подписанного UEMS Agent с сертификатами оператора и соединение с подконтрольным ему сервером по портам 8383 и 8027 [2]. Этот эпизод подтверждает, что злоупотребление легитимным агентом работает на практике, но относится к другой операции и не доказывает общего автора или инфраструктуру.

Что проверить защитникам

  • Ограничить запуск и монтирование VHD, VHDX, ISO и IMG из почты, мессенджеров и пользовательских каталогов.
  • Проверить все установки ManageEngine UEMS и Endpoint Central: адрес сервера в конфигурации должен принадлежать организации.
  • Искать каталоги C:\kouren и C:\cool, параметры SERVER_ROOT_CRT и DS_ROOT_CRT в командной строке msiexec, сертификаты CN=ManageEngineCA и неожиданные исходящие соединения по TCP/8383.
  • При подтверждении компрометации изолировать устройство и перестроить его с чистого носителя. Простое удаление агента не убирает добавленные сертификаты и другие артефакты [1].

Источники

[1] MyCERT, 24 октября 2026 года
https://www.mycert.org.my/portal/advisories?id=431fab9c-d24c-4a27-ba93-e92edafdefa5

[2] Deception.Pro, 27 августа 2026 года
https://blog.deception.pro/blog/new-packclient-hok-aug2026