Налоговая принесла троян
Следите за новостями по этой теме!
Подписаться на «Рифы и пачки / Твоя культура»
Киберпреступники начали распространять PackClient — многофункциональный троян удалённого доступа (RAT), способный фактически превратить заражённый компьютер в инструмент дистанционного управления. По данным исследователей Proofpoint, атаки продолжаются почти три месяца и уже затронули организации в материковом Китае и Индии.
PackClient умеет красть и удалённо управлять файлами, выполнять команды через оболочку, делать снимки экрана, подключаться к рабочему столу, получать доступ к веб-камере и перехватывать нажатия клавиш. Кроме того, вредоносная программа может пытаться повышать привилегии пользователя и выполнять административные операции в системе. Иными словами, жертве предлагают не просто открыть подозрительный файл, а добровольно выдать злоумышленникам дистанционный ключ от рабочего компьютера.
Вредоносную программу активно продают через Telegram-каналы. Пока исследователи заметили её использование только одной группировкой — TA4922. Это не государственная хакерская структура, а преступная группа, работающая ради финансовой выгоды.
С конца мая 2026 года TA4922 рассылала организациям письма, сначала ориентируясь на Китай, а затем и на Индию. Отправители выдавали себя за местные налоговые органы и сообщали получателям о необходимости пройти «самопроверку». Для этого предлагалось скачать и заполнить документы из вложения.
Документы, разумеется, оказались не документами. Вложение содержало установщик PackClient — классический случай, когда бюрократический страх используют как кнопку «Открыть файл».
Proofpoint не раскрыла, сколько организаций пострадало и какие отрасли оказались среди основных целей. В более ранних отчётах исследователи отмечали, что TA4922 обычно атакует малый и средний бизнес, прежде всего в Японии. Также группировка проявляла интерес к организациям на Тайване, в Южной Корее, Сингапуре и Индии. Позже в списке появились европейские компании и организации из Великобритании.
Эксперты предупреждают: PackClient продаётся через Telegram, поэтому доступен не только одной группировке. Благодаря широкому набору функций его могут начать использовать другие злоумышленники, в том числе в атаках на организации в западных странах. Proofpoint опубликовала полный перечень индикаторов компрометации — технических признаков, по которым специалисты могут проверить возможное заражение.
PEREC.RU
История PackClient — это пример того, как киберпреступники превращают привычную административную процедуру в приманку для заражения корпоративных компьютеров. PackClient является RAT, или трояном удалённого доступа. После установки он даёт злоумышленнику широкий набор возможностей: удалённое управление файлами, кражу данных, выполнение команд через командную оболочку, создание снимков экрана, управление удалённым рабочим столом, доступ к веб-камере и перехват нажатий клавиш. Также вредоносная программа поддерживает повышение привилегий и системное администрирование. Поэтому заражение может привести не только к краже отдельных документов, но и к контролю над рабочей станцией.
Исследователи Proofpoint сообщают, что PackClient распространяется почти три месяца. Основными направлениями кампании стали организации в материковом Китае и Индии. Письма маскировались под сообщения местных налоговых органов. Получателей убеждали пройти «самопроверку», скачать вложение и заполнить документы. На практике вложение содержало не бланки, а установщик трояна.
PackClient продаётся через Telegram-каналы. На данный момент его использование заметили у одной группы — TA4922. По оценке исследователей, это финансово мотивированная преступная структура, а не хакеры, работающие на государство.
В более ранних материалах Proofpoint указывала, что TA4922 чаще всего выбирает малые и средние организации в Японии. Среди других направлений назывались Тайвань, Южная Корея, Сингапур и Индия. Позже группа расширила географию и начала атаковать организации в Европе и Великобритании.
Proofpoint не сообщила количество пострадавших компаний и не уточнила, какие отрасли подверглись атакам чаще всего. При этом исследователи считают, что угроза может быстро вырасти: продажа PackClient через Telegram делает его доступным другим группировкам. Они могут использовать уже готовый инструмент в новых кампаниях, особенно против организаций в западных странах. Для выявления возможного заражения Proofpoint подготовила список IoC — индикаторов компрометации, то есть технических признаков активности вредоносной программы.
