В общем, это оказался #ShadowPad, накрытый обфускатором #ScatterBee.

Для снятия этого обфускатора есть набор скриптов для IDA Pro, созданных #PwC и размещенных на GitHub. При помощи них удалось распаковать пейлоад, теперь его достаточно проанализировать статически. Тем не менее, автоматический скрипт ScatterDecodePayload.py не срабатывает, так как ему не знаком ключ шифрования. Поэтому создал #Issue в репозитории деобфускатора.

Просьба пролайкать, возможно обратят внимание и допилят. https://github.com/PwCUK-CTO/ScatterBee_Analysis/issues/3

P.S. Кстати, #ESET в публикации про #FishMonger указывал, что используемый ими ShadowPad был накрыт ScatterBee. Так что возможно, что это часть кампании кибершпионажа от i-Soon/Anxun.

P.P.S. Спасибо анонимному подписчику за шейринг сэмпла с VT. 🤝