Malware OneClik ukrywa się na widoku

Nowy rodzaj cyberataków

Eksperci ds. cyberbezpieczeństwa odkryli wysoce ukierunkowaną kampanię złośliwego oprogramowania znaną jako OneClik . Ta operacja nie jest typowym atakiem typu „rozproszony strzał” — to skoncentrowany wysiłek skierowany wprost na branże o wysokiej wartości, takie jak energetyka, ropa i gaz. To, co wyróżnia OneClik, to wykorzystanie technologii ClickOnce firmy Microsoft, legalnego narzędzia zaprojektowanego w celu zapewnienia użytkownikom bezproblemowego wdrażania oprogramowania. Zamiast tego atakujący zamienili ją w broń do cichego dostarczania tylnych drzwi do krytycznych systemów.

Życie z ziemi: strategia wymijająca atakujących

Zamiast polegać na hałaśliwym złośliwym oprogramowaniu, które uruchamia alarmy, OneClik stosuje subtelniejsze podejście. Kampania wpisuje się w szerszy trend branżowy znany jako techniki „życia z ziemi” — wykorzystując zaufane narzędzia systemowe i platformy, aby działać niezauważonym. Atakujący łączą złośliwe procesy ze zwykłymi przepływami pracy w przedsiębiorstwie, co sprawia, że wykrycie jest niezwykle trudne. Chociaż niektóre cechy sugerują powiązania z chińskimi grupami zagrożeń, analitycy ds. bezpieczeństwa pozostają ostrożni w przypisywaniu winy.

Od phishingu do pełnej kontroli

Łańcuch ataku zaczyna się od pozornie prostego e-maila phishingowego. Ofiary są przekierowywane na fałszywą stronę internetową, która imituje legalne narzędzie do analizy sprzętu. Po odwiedzeniu ta strona po cichu dostarcza aplikację ClickOnce. Chociaż może się to wydawać nieszkodliwe, aplikacja jest w rzeczywistości ładowarką opartą na .NET, która uruchamia złożony łańcuch zdarzeń. W centrum tego łańcucha znajduje się potężne tylne wejście znane jako RunnerBeacon .

RunnerBeacon: Implant rdzenia

Zbudowany przy użyciu języka programowania Go, RunnerBeacon jest zaprojektowany z myślą o ukryciu i wszechstronności. Komunikuje się ze swoimi operatorami za pomocą różnych protokołów, w tym HTTPS, surowego TCP, a nawet nazwanych potoków Windows. Dzięki temu złośliwe oprogramowanie może wykonywać szeroki zakres działań: odczytywać i modyfikować pliki, skanować sieci wewnętrzne, wykonywać polecenia powłoki, kraść tokeny w celu eskalacji uprawnień i poruszać się bocznie po sieci. To nie jest tylko przyczółek — to zestaw narzędzi do głębokiego naruszenia systemu.

Brak wymaganych uprawnień administratora: dlaczego ClickOnce ma znaczenie

Jednym z najsprytniejszych trików kampanii jest nadużywanie ClickOnce. Ta technologia Microsoftu jest zazwyczaj używana do instalowania oprogramowania bez konieczności posiadania uprawnień administratora. Atakujący wykorzystują to do uruchamiania swojego złośliwego oprogramowania bez podnoszenia czerwonych flag lub proszenia o podejrzane uprawnienia. Złośliwa aplikacja działa za pośrednictwem zaufanego procesu Windows, dfsvc.exe, i wykorzystuje rzadko spotykaną taktykę znaną jako wstrzykiwanie AppDomainManager, aby wykonać zaszyfrowany kod powłoki w pamięci — co utrudnia odzyskiwanie danych.

Nie jest to przypadek jednorazowy: ewoluujące warianty w środowisku naturalnym

To nie jest pojedynczy szczep złośliwego oprogramowania — to rozrastająca się rodzina. Badacze bezpieczeństwa zidentyfikowali kilka wariantów OneClik pojawiających się w samym 2025 roku, każda wersja bardziej dopracowana od poprzedniej. Nazwy takie jak v1a , BPI-MDM i v1d wskazują na dojrzewający zestaw narzędzi zaprojektowany do unikania i utrzymywania się. W rzeczywistości wcześniejsze obserwacje tylnego wejścia RunnerBeacon sięgają 2023 roku, wskazując na kampanię, która działała i rozwijała się cicho z czasem.

Szersze implikacje: co to oznacza dla przedsiębiorstw

Konsekwencje działalności OneClik są znaczące. Jego zdolność do pozostawania pod radarem, unikania wymogów eskalacji uprawnień i działania w ramach zaufanych systemów sprawia, że jest on szczególnie niebezpieczny dla branż polegających na starszych systemach lub minimalnej ochronie punktów końcowych. Tradycyjne narzędzia antywirusowe i zapory sieciowe mogą go nie wykryć. Organizacje w sektorach infrastruktury muszą rozważyć, czy ich obecne zabezpieczenia poradzą sobie z tego typu atakiem.

Oto kilka kluczowych oznak, które mogą wskazywać na włamanie w stylu OneClik:

• Nietypowy ruch wychodzący do AWS lub innych usług w chmurze
• Nieznane procesy podrzędne dfsvc.exe
• Użycie AppDomainManager lub podejrzanych zestawów .NET
• Stopniowe podwyższanie uprawnień bez alertów

Globalny wzorzec: połączenia z innymi podmiotami stanowiącymi zagrożenie

Podczas gdy atrybucja pozostaje niejasna, badacze zauważyli podobieństwa między technikami OneClik a tymi stosowanymi przez grupy powiązane z państwem w Azji Północno-Wschodniej. Jedna z kampanii grupy znanej jako APT-Q-14 również wykorzystywała aplikacje ClickOnce, tym razem wykorzystując lukę typu zero-day XSS w usłudze poczty e-mail opartej na sieci Web, aby zainstalować złośliwe oprogramowanie bez żadnych kliknięć. Nakładanie się taktyk sugeruje albo wspólne narzędzia, albo wspólny podręcznik wśród regionalnych aktorów zagrożeń.

Adaptowalność to nowa broń

To, co wyróżnia OneClik od tradycyjnego złośliwego oprogramowania, to jego elastyczność. Nie polega na przebojowych lukach ani metodach siłowych. Zamiast tego dostosowuje się. Używa zaufanych platform, takich jak AWS, maskuje komunikację i ewoluuje w czasie rzeczywistym. Jest to symbol szerszej zmiany w cyberzagrożeniach: od wolumenu w stronę ukrycia i precyzji.

Ostatnie myśli

Kampania OneClik jest jasnym przypomnieniem, że nawet legalne technologie mogą być wykorzystywane do złośliwych celów. Dla zespołów ds. bezpieczeństwa oznacza to wyjście poza ochronę na poziomie powierzchni i inwestowanie w analizę behawioralną, wykrywanie anomalii i zaawansowane monitorowanie. Ponieważ aktorzy zagrożeń nie przestają udoskonalać swoich metod, obrońcy muszą dorównać im zwinnością i wglądem. Przyszłość cyberbezpieczeństwa leży w zrozumieniu nie tylko tego, co robią atakujący, ale także tego, jak cicho to robią.