Почерк LLM: аналитики F6 изучили атаку с использованием PureCrypter и DarkTrack RAT

Аналитики F6 выявили использование LLM в атаке с PureCrypter и DarkTrack RAT. Детали атаки и индикаторы компрометации представлены в блоге.

8 декабря, 2025 · мин. на чтение · Киберразведка

С каждым днем искусственный интеллект всё больше интегрируется в нашу жизнь и облегчает многие задачи. Но, к сожалению, он также используется и в арсенале киберпреступников.

Так, в ходе ежедневного мониторинга угроз, 21.11.2025 специалисты F6 Threat Intelligence обнаружили вредоносный архив с именем Изделие-44 ДСП.rar (MD5: d3b6c14b4bbad6fd72881ff6b88a0de4), загруженный на одну из публичных онлайн-песочниц.

Архив содержит в себе файл Изделие-44 ДСП.hta (MD5: e6846e5074ef5e583df74d989a32833f), запуск которого инициирует цепочку заражения: HTA-загрузчик -> EXE загрузчик\инжектор -> полезная нагрузка DarkTrack RAT.

В ходе анализа содержимого указанного файла прослеживается простота кода, подробное его комментирование, форматирование и отсутствие грамматических ошибок. Эти признаки позволяют предположить, что злоумышленники использовали при разработке своего ВПО LLM.

Рис. 1. – Содержимое файла Изделие-44 ДСП.hta

В ходе выполнения .hta-файл осуществляет загрузку исполняемого файла 1.exe с удаленного хоста hXXps://store3.gofile.io/download/direct/590939a1-31ec-476b-b451-40d809d91bde/1.exe, сохраняет его c именем %AppData%\tcpview.exe (MD5: 06d5fdfabf8ef1f61c1182318652509b), после чего запускает.

C целью закрепления в системе ВПО создает ярлык данного файла в папке автозагрузки по пути: %APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\tcpview.lnk

Файл tcpview.exe является исполняемым файлом .NET, который мимикрирует под установщик браузера Opera_GX.

Рис. 2 – Метаданные файла tcpview.exe

Исполняемый файл подписан недействительной подписью c именем Opera Norway AS.

Рис. 3. – Информация о цифровой подписи файла tcpview.exe

Специалисты F6 классифицировали данный файл как загрузчик/инжектор PureCrypter, который содержит в ресурсах изображение Zsiik.jpg.

Размер изображения составляет 32 Мб, практически весь размер картинки занимает оверлей, который, предположительно, используется лишь в целях обхода средств защиты за счет увеличения размера файла.

В ходе выполнения файл дешифрует и запускает в памяти сохраненный в ресурсах файл с именем Efrhk путем использования алгоритма дешифрования RC2.

Рис. 4. – Функция дешифровки полезной нагрузки

Далее создает новый процесс с именем tcpview.exe, внедряет в него и запускает полезную нагрузку (MD5: 50838f9ce351053f1f8707d5aeb11528) с помощью техники process hollowing.

Полезная нагрузка была нами классифицирована как DarkTrack RAT, использующий в качестве управляющего сервера домен wwwyandex[.]org. Конфигурация ВПО:

{ "Port": 443, "Password": "112233", "ID": "DT-Victim", "Installation Flag": 192, "Startup Flag": 103, "Filename": "DtServ32.exe", "HKCU Startup Name": "DtServ32sm.exe", "Mutex": "I_AM_DTgqWtgzlf", "C2": [ "wwwyandex[.]org" ] }

Домен был зарегистрирован 14 ноября 2025 года.

Рис. 5. – Графовый анализ в системе F6 Threat Intelligence

Полезная нагрузка запускает дочерний процесс notepad.exe и может внедрять в него собственный код.
Также в ходе анализа была извлечена версия RAT — 4.1 Alien+.

В ходе дополнительного анализа специалисты F6 обнаружили вредоносный VBA-скрипт (MD5: a7c286cc3ef3e5d3a07b99d53e3be032), выполнение которого приводит к выполнению цепочки атаки, полностью идентичной описанной выше. В результате устанавливается DarkTrack RAT с тем же адресом C2.

Рис. 6. – Содержимое VBA скрипта (MD5: a7c286cc3ef3e5d3a07b99d53e3be032)

Данный случай описывает возможность использования атакующими ИИ как для написания вредоносного кода, способного работать самостоятельно, так и в комбинации с ранее известными угрозами. Это, в свою очередь, позволяет предположить как дальнейшее развитие атак с применением ИИ, так и увеличение частоты его использования в реальных киберинцидентах.

Анализ ВПО на Malware Detonation Platform от компании F6 доступен по ссылке: https://detonation.f6.security/ru/Gxxb1ppJrarMGTMSurX6YI3V9