SecAtor

В Лаборатории Касперского также оценили Одиссею Нолана, но в другом аспекте: MovieReaper атакует пользователей по всему миру через скомпрометированные торренты. Торрент-трекеры уже давно используются для распространения вредоносного ПО, маскирующегося под популярные фильмы, игры и другой контент. Предыдущие исследования ЛК показали, что киберпреступники неоднократно задействовали торренты в качестве первоначального вектора заражения, применяя троянизированные кряки и установщики для охвата большого числа пользователей. Инструкции по установке пиратского ПО регулярно предписывают пользователям отключать антивирус, приучая их игнорировать потенциальные угрозы, которые они сами приглашают на свои компьютеры. В ходе анализа вредоносного ПО, использующего блокчейн-сети для своей C2-инфраструктуры, в ЛК обнаружили ранее неизвестный модульный многоэтапный фреймворк, маскирующийся под популярные фильмы, который назвали MovieReaper. Вредоносная кампания затронула как частных лиц, так и организации в нескольких странах, включая Россию, Турцию, Японию, Кению, Уганду и Колумбию, а также в ряде европейских стран: Испанию, Нидерланды, Бельгию и Германию. Кампания охватила организации из самых разных отраслей, включая коммерческие предприятия, госсектор, ИТ, консалтинг, розничную торговлю, транспорт и сельское хозяйство. Причем злоумышленники скомпрометировали не сами торрент-трекеры. Вместо этого взломали широко используемый публичный репозиторий торрент-файлов - itorrents[.]org. В результате трекеры, полагающиеся на этот репозиторий, начали непреднамеренно распространять вредоносные торрент-файлы среди своих пользователей. На дату публикации отчета распространяемый архив остается скомпрометированным. Когда пользователь пытается загрузить торрент с помощью magnet-ссылки, легитимный торрент-архив возвращает другой торрент-файл, что приводит к скачиванию вредоносного загрузчика вместо нужного файла. Он используется для развертывания фреймворка MovieReaper. Цепочка заражения состоит из нескольких шагов, при этом вся вредоносная нагрузка исполняется прямо в памяти так, что из всех файлов, только загрузчик попадает на диск перед выполнением, чтобы избежать обнаружения последующих этапов. Вредоносное ПО не подвергнуто сильной обфускации, за исключением того, что строки зашифрованы с помощью собственного потокового шифра. Большинство контрмер были направлены на избежание обнаружения антивирусными песочницами. В ходе этой кампании злоумышленники используют ресурсы различных коммерческих хостинг-провайдеров для своей C2. Кроме того, используется легитимный блокчейн Solana через RPC-эндпоинт api.mainnet.solana.com для доставки адреса C2 на второй стадии. Такой подход предоставляет злоумышленникам децентрализованное хранилище для адресов C2, добавляя дополнительный уровень отказоустойчивости и затрудняя защитникам прерывание кампании путем простой блокировки IP-адресов C2-серверов. Новое исследование выявило активность того же актора, которая прослеживается еще с октября 2025 года. Со временем кампания эволюционировала: авторы вредоносного ПО расширили свой арсенал и усложнили обнаружение загрузчика. При этом общая схема осталась прежней: закодированные строки и части шеллкода загружаются по обычному протоколу HTTP, а для обхода песочниц и виртуальных машин используется несколько различных техник. Тем не менее, автономность, модульность и выполнение этого фреймворка непосредственно в оперативной памяти создают потенциал для его повторного использования в будущих кампаниях с минимальными доработками. Технические подробности, IOCs и разбор цепочки заражения - в отчете.