☄️ Атака на российскую КИИ: Rust-дроппер под видом протоколов проверок и Облако Mail.ru ‼️

На публичной песочнице ANY RUN нашёл вредоносную кампанию, нацеленную на объекты критической информационной инфраструктуры РФ (в России сокращенно КИИ - это аналог наших КВОИКИ). Злоумышленники используют легитимные сервисы для доставки и классические трюки для маскировки.

Разбираем цепочку атаки: 👇

1️⃣ Вектор доставки: Вредоносный архив с кричащим именем Protokol_Prioretnoy_KVO.rar распространяется через публичные ссылки Облака Mail.ru.
2️⃣ Дроппер (Rust): Внутри архива находится файл Protokol_Prioretnoy_Proverki_Obektov_KVO_19.05.2026.pdf.exe. Это написанный на Rust дроппер, использующий трюк с двойным расширением и иконкой PDF-документа.
3️⃣ Приманка (Decoy): При запуске дроппер открывает PDF-документ с ограничительной пометкой "ДСП" 👮‍♀️, чтобы усыпить бдительность жертвы, пока в фоне идет заражение.
4️⃣ Финальный пейлоад: На втором этапе разворачивается инфостилер (Infostealer), который маскируется под процесс NXLog Community Edition.exe.
5️⃣ C2 (Командный сервер): Для эксфильтрации собранных данных стилер использует Telegram API. Это позволяет вредоносному трафику сливаться с легитимными запросами к мессенджеру и обходить сетевые фильтры.

📌 Индикаторы компрометации (IoCs):
🔗 URL: hxxps[://]cloud[.]mail[.]ru/public/RFLP/RVckpRqm1
✏️ Rust Dropper (MD5): ed73908c65575cae4ae7debf23220056
✏️ Infostealer / NXLog (MD5): 9ff0d43cc02136108bcc9744240c3aa7

#угрозы@qcakz #КВОИКИ #КИИ #Malware #ThreatIntel #Infostealer #Rust #CyberSecurity #IoC