infosec

• Вы наверняка читали о том, что антивирус eScan был взломан хакерами, а 20 января 2026 года атакующие разослали через него вредоносное обновление среди небольшой части пользователей. Малварь получили только те, кто скачивал обновления из этого кластера в определенное время.

• Запуск вредоносного ПО через обновление защитного решения - это достаточно нестандартный ход. Атаки на цепочки поставок в целом происходят не так часто, а компрометация антивирусного продукта — это и вовсе редкость. Стоит отметить, что это тщательно подготовленная атака, поскольку для ее реализации злоумышленникам потребовалось следующее:

➡Получить доступ к серверу обновления защитного решения;
➡Изучить устройство продукта eScan, разобраться в том, как работает механизм его обновления и как можно им манипулировать;
➡Разработать уникальные импланты с учетом особенностей цепочки поставок.

• В ходе заражения пользователи с установленными защитными продуктами eScan получали вредоносный файл Reload.exe, запуск которого начинал многоэтапную цепочку заражения. Reload.exe предотвращал получение дальнейших обновлений продукта при помощи модификации файла HOSTS, чем блокировал возможность автоматического исправления проблемы разработчиками защитного решения. Это, помимо всего прочего, приводило к появлению ошибки сервиса обновления.

• Зловред также обеспечивал закрепление в системе, соединялся с управляющими серверами и загружал дополнительную вредоносную нагрузку. Закрепление обеспечивалось при помощи создания задач в планировщике! Также в ходе заражения на диск записывался вредоносный файл с именем consctlx.exe.

• Любопытной особенностью является то, что атакующие предусмотрели резервные методы выполнения вредоносных операций. Например, если задача, запускающая зловред на PowerShell будет удалена, ту же самую нагрузку равно запустит consctlx.exe. Если же C2-серверы, которые она использует, будут обнаружены и заблокированы, атакующие по-прежнему смогут запускать вредоносный шеллкод на зараженной машине через тот же файл consctlx.exe.

• Если вам интересна данная тема, то более детальное описание можно найти в этой статье. Содержание следующее:

➡

Вредоносное ПО, использованное в атаке;

➡

Как злоумышленникам удалось провернуть эту атаку;

➡

Вредоносная нагрузка, модифицирующая антивирус eScan;

➡

Вредоносная нагрузка для обхода AMSI;

➡

Вредоносная нагрузка для проверки жертвы;

➡

Вредоносная нагрузка CONSCTLX.exe;