Эксперты SOCRadar описали необычную вредоносную кампанию, в рамках которой FTP-баннеры используются в качестве dead drop resolver (DDR) для передачи команд. По данным специалистов, злоумышленники начали применять эту технику в реальных атаках летом 2026 года, а сейчас таким способом распространяют два ранее неизвестных RAT — E4del и PINHOLE.
FTP-баннер представляет собой приветственное сообщение, которое сервер отправляет клиенту сразу после подключения (еще до авторизации), и атакующие встраивают в такие сообщения команды, которые затем получает малварь.
Отмечается, что чаще в роли DDR во вредоносных кампаниях выступают популярные легитимные сервисы (такие как X, GitHub или YouTube), где вредоносный трафик проще скрыть среди обычных запросов. Также эксперты пишут, что при всей необычности использование FTP-баннеров нельзя назвать незаметным: соединения с неизвестными FTP-серверами могут сильнее выделяться в трафике, чем обращения к популярным сервисам. Однако в SOCRadar считают эту технику достаточно гибкой и предупреждают, что ее легко адаптировать, например, для ClickFix-кампаний.
Первыми на новую технику атак обратили внимание специалисты MalwareHunterTeam, а теперь аналитики SOCRadar продолжили расследование и выяснили, что инфраструктура злоумышленников работает как минимум с начала июля, а новые серверы продолжили появляться и в августе.
Предположительно, такие атаки начинаются с фишинга. К примеру, в одной из цепочек злоумышленники использовали приманки на испанском языке с предложением получить купон: жертвам предлагали запустить LNK-файл, который извлекал команду, размещенную в FTP-баннере, а затем происходило обращение к WebDAV-серверу и запуск DLL через rundll32.exe.
По словам специалистов, один из распространяемых таким способом вредоносов, E4del, представляет собой написанный на Node.js RAT, упакованный в подписанное Electron-приложение, которое маскируется под мессенджер Discord.
Этот троян способен выполнять шелл-команды, делать скриншоты, транслировать рабочий стол жертвы через WebSocket, скачивать файлы и запускать дополнительные пейлоады. Для связи с управляющим сервером E4del меняет интервалы между запросами в зависимости от своей активности (например, 200 мс–2 секунды сразу после получения команды или 5–9 секунд после 40 секунд простоя), чтобы трафик выглядел менее подозрительно.
Второй вредонос, RAT PINHOLE, устроен намного сложнее. Конфигурацию управляющих серверов он может получать через пины на Pinterest и вопросы в SurveyMonkey, и соединения проксируются через Cloudflare Workers. При этом загрузчик малвари использует технику Halo's Gate, пейлоад проходит через шесть слоев распаковки и в итоге внедряется в приостановленный процесс ApplicationFrameHost.exe с помощью метода Early Bird APC Injection.
Кроме того, PINHOLE стремится оставлять минимум следов в памяти: одновременно там находится лишь один участок пейлоада размером 4 Кбайт.
RAT поддерживает 14 команд: умеет работать с файлами, управлять процессами, делать скриншоты, выполнять команды PowerShell, открывать PowerShell-сессии, а также запускать дополнительные пейлоады и бинарники.
Исследователи отмечают, что для подсчета подключений, уникальных IP-адресов и выполнений скриптов операторы PINHOLE развернули отдельную панель FTP Stats Panel. На момент анализа в ней было всего 11 событий выполнения, поэтому специалисты полагают, что эта кампания пока находится на ранней стадии развития.
