Эксперты ПМ зафиксировали случай кибершпионажа в сфере авиатранспорта

Специалисты «Перспективного мониторинга» обнаружили попытку распространения вредоносного программного обеспечения с помощью фишинга в организации авиатранспортной отрасли.

Схема развития атаки:

Доставка

Злоумышленники отправили на корпоративную почту сотрудника организации письмо с заголовком «Исх. № 451/63-26 от 23.04.2026 г.» и текстом: «Добрый день, просим передать руководству».

Установка

Архив «Инструктаж.7z» содержит единственный файл — «Инструктаж.pdf.exe» с двойным расширением для маскировки.

После запуска «Инструктаж.pdf.exe» пользователь получает поддельное сообщение об ошибке, однако на самом деле в это время выполняется распаковка следующей полезной нагрузки explorer.exe.

Файл explorer.exe размещается в директории %TEMP%/n*. Вредоносное ПО мимикрирует под проводник Windows и названием, и иконкой. Для осложнения реверс-инжиниринга используется упаковщик Themida.

Сбор информации

Explorer.exe выполняет поиск в системе файлов с расширениями *.txt, *.csv, *.rtf, *.zip, *.doc, *.docx, *.odt, *.pdf, *.ppt, *.rar, *.xls, *.xlsx и другими. Перечень найденных файлов сохраняется в скрытый файл report_C.json в директории %TEMP%/n* и выгружается на управляющий сервер злоумышленника (C2).

Закрепление

Троян закрепляется в системе с помощью создания объекта WindowsAuditService в ключе реестра HKCU\Software\Microsoft\Windows\CurrentVersion\Run и своей резервной копии в %APPDATA%\WindowsAudit\audit_service.exe.

C2-инфраструктура

В качестве C2-сервера ВПО использует сторонний роутер 217.25.220[.]101. Вероятно, он был скомпрометирован и используется как прокси-сервер.

Отличительной чертой C2-взаимодействия является использование для аутентификации HTTP-заголовка X-Password: StickyP4ssw0rd

На момент исследования осуществить C2-взаимодействие с указанным сервером не удалось.

Смежная активность

Также в открытых источниках были найдены другие связанные с explorer.exe файлы: «Настройки Bitrix.msi» содержит в себе CAB-файл SSbySW, из которого создаётся explorer.exe, аналогичный обнаруженному в текущей фишинговой рассылке.

В другой активности используются архив 3D-Komplekt.rar, поддельный установочный файл 3D-Komplekt.msi / OpenVPN-2.7.1.msi / Update_KB839043_26.474.msi, дроппер StickyStrike.exe и стилер explorer.exe.

Меры противодействия

Чтобы предотвратить такую атаку на организацию, эксперты ПМ рекомендуют:

• проверять и фильтровать входящие электронные письма средствами антивирусной защиты c модулем «Анти-фишинг»:

• проводить регулярное обучение сотрудников в области защиты от атак с использованием социальной инженерии;

• проверить ветвь реестра HKCU\Software\Microsoft\Windows\CurrentVersion\Run на наличие ключа WindowsAuditService;

• провести аудит каталога %TEMP% на наличие подозрительных файлов с расширением *.exe (например, explorer.exe) и каталога %APPDATA% на наличие подозрительных скрытых подкаталогов (например, WindowsAudit)

• выполнить антивирусную проверку на узлах, убедиться, что установлены актуальные базы сигнатур;

• ограничить доступ к файлам, имеющим отношение к распространению ВПО;

• ограничить доступ к следующему сетевому ресурсу, имеющему отношение к C2-серверам злоумышленников: 217.25.220[.]101.

Индикаторы компрометации

Пути закрепления в системе

Импланты

Дропперы

Полезная нагрузка

C2-взаимодействие