ClearFake WebDAV-цепочка заражения доставляет стилеры Amatera, ZigCryptoStealer и NetSupport Manager

Исследователи Cisco Talos начали расследование после обнаружения в телеметрии конечных точек украинской правительственной организации факта выполнения DLL-файла с именем «verification.google» через протокол WebDAV. Файл запускался 32-битной версией «rundll32.exe», что привлекло внимание экспертов. По оценке специалистов, с умеренной степенью уверенности можно утверждать, что атаки не направлены на конкретную организацию, а являются частью более широкой операции по краже криптовалют и учетных данных с использованием стилера Amatera в качестве основного вредоносного ПО. Анализ схожего поведения при работе с WebDAV привел исследователей ко второму загрузчику под названием «pf.ch», что позволило реконструировать ранние стадии доставки вредоносного кода.

Подробности

Цепочка заражения использует Cloudflare Worker для инъекции JavaScript-кода, размещенного в блокчейне BNB Smart Chain. Далее применяется ClickFix-подсказка, имитирующая Google CAPTCHA, которая побуждает пользователя скопировать и выполнить вредоносную команду, приводящую к загрузке и запуску стилера Amatera. Две обнаруженные сборки Amatera выполняли разные дополнительные задачи в зависимости от инфраструктуры командного центра (C2). Загрузчик «pf.ch» получал инструкции по развертыванию NativeAOT-загрузчика, запускающего ZigCryptoStealer, а также Go-основанного обратного прокси. В свою очередь, загрузчик «verification.google» был настроен на установку неавторизованного экземпляра NetSupport Manager. Конфигурация NetSupport Manager содержала адрес C2-сервера с IP, расположенным в России. С умеренной степенью уверенности исследователи связывают ветку атаки через «verification.google» с русскоязычным угрозовым актором. Новую активность специалисты Talos отслеживают под идентификатором UAT-10820. Примечательно, что данные цепочки являются частью более широкой серии недавних кампаний по доставке Amatera. В июле 2026 года компания Malwarebytes задокументировала случаи распространения вредоносного ПО через поддельные загрузки игр и программного обеспечения с использованием RenPy Loader, MSBuild и EtherHiding. Компания Blackpoint Cyber описала другую цепочку с фейковой верификацией, использующую подписанный Microsoft App-V скрипт, конфигурацию в Google Calendar и полезную нагрузку, скрытую в PNG-изображении. Однако, кроме основной семьи вредоносных программ, общая инфраструктура или другие признаки связи между этими активностями и описанными цепочками не обнаружены.

Что делать

Организациям рекомендуется обратить внимание на следующие меры защиты: - Отслеживать в телеметрии выполнение DLL-файлов через UNC-пути WebDAV, особенно через 32-битные версии системных утилит. - Ограничить или отключить службу WebClient на рабочих станциях, где это не требуется для бизнес-процессов. - Обучать сотрудников распознаванию поддельных CAPTCHA-страниц и других ClickFix-подобных механизмов социальной инженерии. - Контролировать запуск легитимного ПО удаленного доступа (например, NetSupport Manager) — его появление без санкции ИТ-отдела может свидетельствовать о компрометации. - Использовать многофакторную аутентификацию (MFA) для защиты учетных записей от кражи. Итог: обнаруженная кампания демонстрирует усложнение цепочек доставки вредоносного ПО с использованием WebDAV, блокчейн-платформ и социальной инженерии. Своевременный мониторинг аномального поведения и соблюдение базовых гигиенических мер безопасности позволят снизить риск компрометации.

Источник: Cisco Talos Intelligence