Ланцюжок атаки: від кліку в пошуку до шкідливого навантаження

Інфікування починається, коли користувач шукає популярний інструмент з відкритим кодом. Зловмисники розгорнули флотилію фейкових сайтів, які імітують офіційні сторінки проєктів, зокрема Ghidra, dnSpy та SpiderFoot. Ці сайти добре оформлені, часто посилаються на реальні джерела та займають високі позиції в пошукових системах, на перший погляд виглядаючи як справжні портали проєктів .

Технічний обман спрацьовує після взаємодії користувача. Коли жертва натискає кнопку "Завантажити" на одному з таких сайтів, рівень JavaScript, розміщений на CloudFront, перетворює перший клік на перенаправлення. Це перехоплює користувача і спрямовує його в інфраструктуру TDS кампанії .

Система розподілу трафіку з контролем доступу: фільтрація цінних цілей

TDS діє як складний контролер доступу, а не просто перенаправляє трафік. Аналіз Check Point показує, що він застосовує багаторівневий антианаліз і фільтрацію, щоб відокремити реальних жертв від дослідників безпеки, пісочниць та автоматизованих сканерів. Лише користувачі, які пройшли ці перевірки, спрямовуються до фінальних шкідливих навантажень . Така вибіркова доставка ускладнює відстеження кампанії та підвищує цінність кожного успішного зараження для операторів. Щоб ще більше ускладнити виявлення, система використовує такі методи, як одноразові ключі для кожного сеансу .

Тріо шкідливого ПЗ: RemusStealer, AnimateClipper та SessionGate

В рамках кампанії спостерігається доставка трьох різних родин шкідливого ПЗ, кожна з яких служить для різної мети монетизації.

• RemusStealer: Це інфостилер на підписці (Malware-as-a-Service), який продається за $250–$500. Він націлений на широкий спектр конфіденційних даних, включаючи облікові дані з понад 20 браузерів, дані з більш ніж 220 розширень криптовалютних гаманців, менеджерів паролів та інструментів двофакторної аутентифікації .
• AnimateClipper: Криптовалютний кліпер, призначений для перехоплення транзакцій у реальному часі шляхом підміни адреси гаманця, яку скопіював користувач, на адресу, контрольовану зловмисником. Він здатний відстежувати та перехоплювати транзакції в понад 20 різних блокчейн-екосистемах .
• SessionGate: Цей раніше не задокументований фреймворк є багатоступеневим завантажувачем, який використовує сильне обфускування та розширений антианаліз для доставки потенційно небажаних програм (PUA) або інших навантажень. Він діє як початкова точка входу та завантажувач у спостережуваних ланцюжках атак .

Глобальна, довготривала операція

Масштаб кампанії значний. Check Point повідомляє, що екосистема активна з кінця 2025 року та створила понад 5 000 завантажень на VirusTotal, що свідчить про широке коло жертв. Основні географічні цілі охоплюють всю земну кулю, з високою активністю в Туреччині, Польщі, Бразилії, Німеччині, Франції, Росії та Великій Британії .

Для розробників і фахівців з безпеки висновок зрозумілий і нагальний. Дні, коли можна було просто завантажити інструмент за результатом пошуку, минули. Користувачі повинні перевіряти, чи перебувають вони на офіційному репозиторії проєкту, безпосередньо відвідувати відому сторінку GitHub або GitLab та з підозрою ставитися до будь-якого завантаження, яке не доставляє очікуваний файл одразу. Професіоналізм цих фейкових сайтів робить візуальну перевірку недостатнім захистом від екосистеми, побудованої на вкраденій довірі та автоматизованому обмані.

Ланцюжок атаки: від кліку в пошуку до шкідливого навантаження

Інфікування починається, коли користувач шукає популярний інструмент з відкритим кодом. Зловмисники розгорнули флотилію фейкових сайтів, які імітують офіційні сторінки проєктів, зокрема Ghidra, dnSpy та SpiderFoot. Ці сайти добре оформлені, часто посилаються на реальні джерела та займають високі позиції в пошукових системах, на перший погляд виглядаючи як справжні портали проєктів .

Технічний обман спрацьовує після взаємодії користувача. Коли жертва натискає кнопку "Завантажити" на одному з таких сайтів, рівень JavaScript, розміщений на CloudFront, перетворює перший клік на перенаправлення. Це перехоплює користувача і спрямовує його в інфраструктуру TDS кампанії .

Система розподілу трафіку з контролем доступу: фільтрація цінних цілей

TDS діє як складний контролер доступу, а не просто перенаправляє трафік. Аналіз Check Point показує, що він застосовує багаторівневий антианаліз і фільтрацію, щоб відокремити реальних жертв від дослідників безпеки, пісочниць та автоматизованих сканерів. Лише користувачі, які пройшли ці перевірки, спрямовуються до фінальних шкідливих навантажень . Така вибіркова доставка ускладнює відстеження кампанії та підвищує цінність кожного успішного зараження для операторів. Щоб ще більше ускладнити виявлення, система використовує такі методи, як одноразові ключі для кожного сеансу .

Тріо шкідливого ПЗ: RemusStealer, AnimateClipper та SessionGate

В рамках кампанії спостерігається доставка трьох різних родин шкідливого ПЗ, кожна з яких служить для різної мети монетизації.

• RemusStealer: Це інфостилер на підписці (Malware-as-a-Service), який продається за $250–$500. Він націлений на широкий спектр конфіденційних даних, включаючи облікові дані з понад 20 браузерів, дані з більш ніж 220 розширень криптовалютних гаманців, менеджерів паролів та інструментів двофакторної аутентифікації .
• AnimateClipper: Криптовалютний кліпер, призначений для перехоплення транзакцій у реальному часі шляхом підміни адреси гаманця, яку скопіював користувач, на адресу, контрольовану зловмисником. Він здатний відстежувати та перехоплювати транзакції в понад 20 різних блокчейн-екосистемах .
• SessionGate: Цей раніше не задокументований фреймворк є багатоступеневим завантажувачем, який використовує сильне обфускування та розширений антианаліз для доставки потенційно небажаних програм (PUA) або інших навантажень. Він діє як початкова точка входу та завантажувач у спостережуваних ланцюжках атак .

Глобальна, довготривала операція

Масштаб кампанії значний. Check Point повідомляє, що екосистема активна з кінця 2025 року та створила понад 5 000 завантажень на VirusTotal, що свідчить про широке коло жертв. Основні географічні цілі охоплюють всю земну кулю, з високою активністю в Туреччині, Польщі, Бразилії, Німеччині, Франції, Росії та Великій Британії .

Для розробників і фахівців з безпеки висновок зрозумілий і нагальний. Дні, коли можна було просто завантажити інструмент за результатом пошуку, минули. Користувачі повинні перевіряти, чи перебувають вони на офіційному репозиторії проєкту, безпосередньо відвідувати відому сторінку GitHub або GitLab та з підозрою ставитися до будь-якого завантаження, яке не доставляє очікуваний файл одразу. Професіоналізм цих фейкових сайтів робить візуальну перевірку недостатнім захистом від екосистеми, побудованої на вкраденій довірі та автоматизованому обмані.