BI.ZONE зафиксировала атаки нового трояна LxBase RAT на российские компании
Специалисты BI.ZONE Threat Intelligence в период с июля по сентябрь 2026 года зафиксировали массовые фишинговые рассылки, нацеленные на организации из различных секторов экономики — от сельского хозяйства, энергетики и логистики до ИТ и строительства. Главной особенностью атак стало использование трояна удаленного доступа LxBase RAT, который ранее не применялся против российских компаний. Об этом SecPost сообщили в компании.
Вредоносное ПО распространяется по модели Malware-as-a-Service (MaaS). Подписка стоимостью 119 долларов в месяц предоставляет доступ к полнофункциональному трояну и специализированному криптору для обхода средств защиты. По данным BI.ZONE, это позволяет даже менее опытным злоумышленникам использовать готовый набор инструментов для проведения скрытых атак.
Внедрение вредоносного ПО осуществляется с помощью методов социальной инженерии. Фишинговые письма маскируются под деловую переписку сотрудников компаний — в частности, имитируется переписка с контрагентами из Казахстана. Сами сообщения содержат вредоносные архивы, замаскированные под фиктивные приказы или запросы на предоставление ценовых предложений.
Как отмечают в компании, с помощью LxBase RAT злоумышленники могут похищать сохраненные пароли, файлы cookie, данные банковских карт, токены аутентификации и другие сведения из браузеров, почтовых клиентов, мессенджеров и криптокошельков. Возможности управления файлами, процессами и сетевыми соединениями, а также удаленный запуск кода позволяют использовать троян для глубокого сбора данных и расширения присутствия в системе.
Техническая реализация атак отличается многоступенчатой архитектурой доставки вредоносного ПО. Процесс начинается с получения пользователем RAR-архива, замаскированного под стандартный документ, который содержит обфусцированные JavaScript-загрузчики. При запуске JavaScript-файл записывает на диск компоненты следующей стадии: PowerShell-загрузчик, два зашифрованных и закодированных файла нагрузки, а также VBS/Batch-скрипты для запуска PowerShell. В ходе дальнейшего развертывания происходит запуск DLL .NET-сборки, позволяющей вредоносному коду работать внутри других программ. На финальном этапе атаки нагрузка LxBase RAT внедряется непосредственно в легитимный системный процесс MSBuild.exe. Как сообщили в BI.ZONE, подобная техника позволяет маскировать вредоносную активность под выполнение доверенных системных компонентов Windows, что существенно затрудняет обнаружение угрозы традиционными средствами защиты.
В компании отмечают, что успешное предотвращение подобных атак во многом зависит от эффективности защиты периметра, в частности — способности средств защиты электронной почты выявлять фишинговые сообщения. При этом, учитывая многоступенчатую цепочку атаки, организациям не следует ограничиваться только данным классом решений защиты. Непрерывный мониторинг инфраструктуры и интеграция актуальных данных об угрозах, как указывается в сообщении, позволяют выявлять и купировать компрометацию на ранних стадиях, даже если первичные механизмы защиты будут преодолены.
Читайте также
