Группа киберразведки Positive Technologies зафиксировала новую фишинговую кампанию хакерской группировки NetMedved, нацеленную на российские организации. Как и в описанных нами ранее атаках, операторы используют деловую тематику, документы-приманки и легитимный инструмент удаленного администрирования NetSupport Manager, развернутый в системе жертвы.

В предыдущих кампаниях NetMedved уже применялись архивы с документами-приманками, вредоносные LNK-файлы, PowerShell-загрузчики, сценарии с использованием finger, а также HTA-варианты с декодированием приманки и NetSupportRAT из тела файла. В новой кампании операторы сохранили основную модель атаки, но расширили набор начальных стадий и инфраструктурных приемов.

В рамках исследования были выявлены два основных направления развития кампании:

• LNK-файлы запускают PowerShell-цепочку через сервис-redirector, получают AES-зашифрованный PowerShell-stage и разворачивают NetSupport Client из ZIP-архива;

• ZIP/JScript-вариант, в котором полезная нагрузка встроена непосредственно в .js-файл и декодируется локально через Windows Script Host.

LNK- и PowerShell-сценарий

Цепочка атаки с использованием LNK-файла выглядит следующим образом:

В исследованных образцах LNK-файлы маскируются под заявки на закупку от имени российских компаний. Названия документов и файлов выдержаны в деловом стиле и рассчитаны на сотрудников, работающих с закупками, договорами и документооборотом. Для LNK-вариантов был зафиксирован следующий паттерн имен файлов: «Заявка на закупку от компании [REDACTED] на июнь 2026г.lnk».

Исследованные LNK содержат Base64-команду, закодированную в UTF-16LE. После декодирования она принимает следующий вид:

PowerShell в данной цепочке выполняет роль загрузчика: он обращается к удаленному ресурсу, получает следующий этап полезной нагрузки и запускает его в памяти.

Для затруднения обнаружения в образцах используется несколько типовых видов обфускации:

• Командлет Invoke-Expression, отвечающий за выполнение полученного кода, не указывается напрямую, а разрешается динамически через Get-Command с wildcard-маской – шаблоном поиска с подстановочными символами, где означает любую последовательность символов. Например, конструкция (gcm vo*p*s*n) позволяет найти Invoke-Expression без его явного указания в коде.

• Для получения следующего этапа полезной нагрузки используется COM-объект MSXML2.ServerXMLHTTP, а не более типичные для PowerShell механизмы вроде Invoke-WebRequest, DownloadString или Net.WebClient. За счет этого в коде отсутствуют распространенные сигнатурные строки, часто используемые при статическом анализе вредоносных PowerShell-скриптов. Однако такой прием не позволяет полностью скрыть активность загрузчика. Полезная нагрузка по-прежнему может детектироваться по созданию COM-объекта MSXML2.ServerXMLHTTP, вызовам методов .open() и .send(), обращению к свойству .responseText, а также по последующему исполнению полученного ответа как кода.

В текущей кампании домен crop[.]sh не является основным сервером полезной нагрузки, а используется как промежуточный redirector-слой между первичным LNK и инфраструктурой доставки.

При запуске LNK-файла инициируется обращение к sunlightfriends.tech, сервер возвращает PowerShell-код, содержащий крупный Base64-blob. Этот blob представляет собой AES-зашифрованный PowerShell-код следующего этапа. Ключ и вектор инициализации – служебное значение, необходимое для корректной расшифровки AES-данных вместе с ключом, – также встроены в тело скрипта в Base64-форме.

Далее скрипт расшифровывает встроенный blob алгоритмом AES-128-CBC, преобразует полученный результат в PowerShell-код и выполняет его в памяти через обфусцированный вызов Invoke-Expression.

После расшифровки полезная нагрузка выполняет роль загрузчика: через redirect-домен обращается к sunlightfriends.tech, скачивает ZIP-архив, сохраняет его во временную директорию и распаковывает содержимое в %LOCALAPPDATA%\. Из распакованного архива запускается NetSupportRAT.

Для закрепления в системе создаетcя запись автозапуска в ветке HKCU\Software\Microsoft\Windows\CurrentVersion\Run, указывающая на извлеченный NetSupportRAT. В результате полезная нагрузка будет автоматически запускаться при последующих входах пользователя в систему.

Внутри ZIP находится client32.ini – конфигурационный файл NetSupport Client. В нем заданы параметры скрытного запуска, ограничения пользовательского интерфейса и gateway-серверы.

Цепочка атаки с использованием ZIP-архива и Jscript-дроппера

В ходе дальнейшего исследования был выявлен еще один вариант доставки NetSupportRAT, отличающийся от LNK-цепочки с PowerShell. В этом случае операторы распространяли ZIP-архив, содержащий вредоносный JScript-файл, замаскированный под закупочный документ. Тематика социальной инженерии при этом осталась прежней, а цепочка атаки выглядит следующим образом:

Скрипт представляет собой JScript-дроппер, использующий COM-объекты Windows для декодирования встроенных данных, записи файлов на диск, запуска документа-приманки и закрепления в системе.

Для декодирования встроенных данных используется механизм bin.base64 через XML DOM. Такой подход позволяет хранить внутри JScript-кода как документ-приманку, так и компоненты NetSupport Client в виде закодированных blob-данных. В наблюдаемом варианте основная полезная нагрузка извлекается из тела самого скрипта, без необходимости обращения к внешней инфраструктуре.

После запуска JScript создает и открывает PDF-файл NOTICE-793-0001.pdf, параллельно разворачивая NetSupport RAT.

В отличие от LNK-варианта, где документ-приманка входит в состав ZIP-архива, в JScript-варианте PDF хранится в закодированном виде непосредственно внутри скрипта.

В одном из LNK-образцов также наблюдалась дополнительная тактика: PowerShell-стейджер автоматически открывал ссылку на Яндекс Диск, где был размещен PDF-файл. Использование легитимного облачного сервиса для размещения приманки снижает подозрительность сетевого обращения и затрудняет блокировку по доменному признаку.

В отличие от LNK-варианта, в цепочке с использованием JS-файла зафиксировано два механизма закрепления:

• Скрытая задача планировщика Windows. Задача создается через COM-интерфейс Schedule.Service. В параметрах задачи зафиксированы следующие значения:

Hidden=TrueAction=%LOCALAPPDATA%\Stereo\audio.exe

• Ключ автозапуска текущего пользователя. В реестре создается значение Stereo, указывающее на основной исполняемый файл NetSupport Client:

HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\Stereo = C:\Users\admin\AppData\Local\Stereo\audio.exe

Сочетание двух механизмов закрепления повышает устойчивость установки: если один из них будет удален в ходе стандартной очистки автозапуска, второй может продолжить обеспечивать запуск NetSupport Client после перезагрузки или повторного входа пользователя в систему.

В ходе исследования JScript-дроппера был проведен ретроспективный поиск по базе данных вредоносных образцов. В результате были обнаружены скрипты, распространявшиеся в 2024 году и демонстрирующие характерное сходство с кампанией 2026 года по трем ключевым признакам.

1. Цепочка распространения. Доставка осуществлялась аналогичным образом: ZIP-архив содержал JScript-файл, который при запуске через wscript.exe извлекал полезную нагрузку из собственного тела и разворачивал ее на устройстве жертвы без обращения к внешней инфраструктуре.

2. Документы-приманки. Архивы 2024 года содержали документы, имитирующие коммерческие запросы цены и предложения от российских юридических лиц, файлы именовались по шаблону «[Тип запроса] от [полное наименование] на [месяц год]. [НомерЗаявки].js».

   К 2026 году название упростилось до «Заявка на закупку от компании ООО [НАЗВАНИЕ] на [месяц год]», однако целевая аудитория – сотрудники снабжения и закупок – осталась неизменной.

3. Конечная полезная нагрузка. Целевым инструментом в обоих случаях выступает NetSupportRAT, развертываемый в пользовательском каталоге со скрытой конфигурацией client32.ini.

Таким образом, JScript-вариант доставки применялся группировкой как минимум с 2024 года.

Заключение

Новая активность NetMedved показывает, что операторы продолжают развивать способы доставки вредоносного ПО, сохраняя при этом основную полезную нагрузку в виде NetSupport Manager, используемого как RAT. Несмотря на полную смену инфраструктуры, кампания сохраняет устойчивые признаки: тот же инструмент (сборка NetSupportRAT 2017 года), неизменный шаблон именования приманок, парная схема gateway в конфигурации client32.ini и совпадающее значение SecurityKey2 в обоих вариантах доставки.

В новой кампании заметны следующие изменения:

• Собственный redirect-сервис. Группировка использует контролируемый домен crop[.]sh в качестве промежуточного redirector-слоя. Это позволяет менять конечную инфраструктуру доставки без модификации первичного LNK-файла: то есть уже разосланные вредоносные файлы продолжают работать после ротации серверов.

• Многоуровневое AES-шифрование с помощью полезной нагрузки. Сервер доставки возвращает PowerShell-код с AES-128-CBC зашифрованным blob внутри.

• ZIP/JScript-вариант. Новый вектор не обращается к внешней инфраструктуре: все компоненты зашиты в тело скрипта. Это делает JS-вариант невидимым для сетевой детекции при первичном заражении и снижает зависимость от доступности серверов в момент выполнения.

• Инфраструктурная кластеризация. Все домены C2 зарегистрированы в один день – 27.04.2026. Это на месяц раньше начала кампании (конец мая – начало июня), но такая подготовка инфраструктуры обычная практика. Домены imhfamily[.]com и stillpaving[.]com принадлежат одному ASN (58329), домены sunlightfriends[.]tech и fleepsterones[.]fun разрешаются в один IP-адрес (144.172.116.63). Такая кластеризация позволяет атрибутировать новые домены по инфраструктурным пересечениям даже при отсутствии совпадений по коду.

Денис Казаков

Специалист группы киберразведки TI-департамента экспертного центра безопасности, Positive Technologies