Вредоносное ПО OneClik скрывается на виду

Новый вид кибервторжения

Эксперты по кибербезопасности обнаружили узконаправленную вредоносную кампанию, известную как OneClik . Эта операция не является типичной атакой с разбросом — это целенаправленные усилия, направленные прямо на такие высокодоходные отрасли, как энергетика, нефть и газ. OneClik примечательна тем, что использует технологию ClickOnce от Microsoft, законный инструмент, разработанный для обеспечения бесперебойного развертывания программного обеспечения для пользователей. Вместо этого злоумышленники превратили ее в оружие для тихой доставки бэкдоров в критически важные системы.

Жизнь за счет земли: уклончивая стратегия нападающих

Вместо того чтобы полагаться на шумное вредоносное ПО, которое запускает сигналы тревоги, OneClik использует более тонкий подход. Кампания соответствует более широкой отраслевой тенденции, известной как методы «жить вне земли» — использование надежных системных инструментов и платформ для работы незамеченными. Злоумышленники встраивают вредоносные процессы в обычные рабочие процессы предприятия, что делает обнаружение крайне сложным. Хотя некоторые характеристики указывают на связи с аффилированными с Китаем группами угроз, аналитики по безопасности по-прежнему осторожны в определении виновных.

От фишинга до полного контроля

Цепочка атак начинается с обманчиво простого фишингового письма. Жертвы перенаправляются на поддельный веб-сайт, который имитирует легитимный инструмент анализа оборудования. При посещении этот сайт молча доставляет приложение ClickOnce. Хотя это может показаться безобидным, на самом деле приложение представляет собой загрузчик на основе .NET, который запускает сложную цепочку событий. В центре этой цепочки находится мощный бэкдор, известный как RunnerBeacon .

RunnerBeacon: Основной имплант

RunnerBeacon, созданный с использованием языка программирования Go, разработан для скрытности и универсальности. Он взаимодействует со своими операторами с помощью различных протоколов, включая HTTPS, сырой TCP и даже именованные каналы Windows. Это позволяет вредоносному ПО выполнять широкий спектр действий: чтение и изменение файлов, сканирование внутренних сетей, выполнение команд оболочки, кража токенов для повышения привилегий и горизонтальное перемещение по сети. Это не просто плацдарм — это набор инструментов для глубокого взлома системы.

Права администратора не требуются: почему ClickOnce имеет значение

Один из самых хитрых трюков кампании заключается в злоупотреблении ClickOnce. Эта технология Microsoft обычно используется для установки программного обеспечения без необходимости в привилегиях администратора. Злоумышленники используют это, чтобы запустить свое вредоносное ПО, не поднимая красные флажки или не запрашивая подозрительные разрешения. Вредоносное приложение работает через доверенный процесс Windows, dfsvc.exe, и использует редко встречающуюся тактику, известную как инъекция AppDomainManager, для выполнения зашифрованного шелл-кода в памяти, что затрудняет судебно-медицинское восстановление.

Не единичный случай: эволюционирующие варианты в дикой природе

Это не один штамм вредоносного ПО — это растущее семейство. Исследователи безопасности выявили несколько вариантов OneClik, появившихся только в 2025 году, каждая версия была более усовершенствованной, чем предыдущая. Такие названия, как v1a , BPI-MDM и v1d , указывают на развивающийся набор инструментов, предназначенный для уклонения и сохранения. Фактически, более ранние наблюдения бэкдора RunnerBeacon восходят к 2023 году, указывая на кампанию, которая действовала и тихо развивалась с течением времени.

Более широкие последствия: что это означает для бизнеса

Последствия деятельности OneClik значительны. Его способность оставаться незамеченным, избегать требований повышения привилегий и работать в доверенных системах делает его особенно опасным для отраслей, полагающихся на устаревшие системы или минимальную защиту конечных точек. Традиционные антивирусные инструменты и брандмауэры могут не обнаружить его. Организации в секторах инфраструктуры должны подумать, могут ли их текущие средства защиты справиться с этим типом атак.

Вот несколько основных признаков, которые могут указывать на вторжение в стиле OneClik:

• Необычный исходящий трафик в AWS или другие облачные сервисы
• Неизвестные дочерние процессы dfsvc.exe
• Использование AppDomainManager или подозрительных сборок .NET
• Постепенное повышение привилегий без оповещений

Глобальная модель: связи с другими источниками угроз

Хотя атрибуция остается неясной, исследователи отметили сходство между методами OneClik и методами, используемыми государственными группами в Северо-Восточной Азии. Одна кампания группы, известной как APT-Q-14, также использовала приложения ClickOnce, на этот раз эксплуатируя уязвимость нулевого дня XSS в веб-службе электронной почты для установки вредоносного ПО без каких-либо щелчков. Совпадение тактик предполагает либо общий инструментарий, либо общую схему действий среди региональных субъектов угроз.

Адаптивность — новое оружие

OneClik отличается от традиционных вредоносных программ своей гибкостью. Он не полагается на уязвимости блокбастеров или методы грубой силы. Вместо этого он адаптируется. Он использует надежные платформы, такие как AWS, скрывает свои коммуникации и развивается в режиме реального времени. Это символизирует более широкий сдвиг в киберугрозах: от объема к скрытности и точности.

Заключительные мысли

Кампания OneClik — это четкое напоминание о том, что даже легитимные технологии могут быть перепрофилированы для злонамеренных целей. Для групп безопасности это означает выход за рамки поверхностной защиты и инвестирование в поведенческий анализ, обнаружение аномалий и расширенный мониторинг. Поскольку субъекты угроз не перестают совершенствовать свои методы, защитники должны соответствовать им в гибкости и проницательности. Будущее кибербезопасности заключается в понимании не только того, что делают злоумышленники, но и того, как тихо они это делают.