🚨 Новая кампания с вредоносными XLL-файлами

Фиксируется распространение вредоносных надстроек Excel (имеют расширение XLL и иконку MS Excel, но по факту это PE32 DLL 🚩). Злоумышленники используют социальную инженерию, маскируя файлы под отбор объяснительной от 👮‍♀️ 🚨.

⚙️ Детали исполнения:
Атакующие используют технику загрузки легитимного окружения. Загрузчик скачивает официальный архив Node.js v22.16.0, распаковывает его в AppData\Local\nodejs, прописывает пути и использует легитимный node.exe для загрузки и выполнения JavaScript-пейлоада с удаленного сервера.

🕵️‍♂️ Атрибуция:
Наблюдаются значительные сходства с группировкой HeartlessSoul (подробнее: https://securelist.ru/tr/heartlesssoul-campaign-javascript-rat/115376/).

🔬 Анализ в ANY RUN: https://app.any.run/tasks/235232dd-177a-480b-93a6-b95bd3ea2629 (отдельное им спасибо, что шейрят сэмплы)

IOCs:
🌐 Network:
hxxps[:]//theoryviraleliminate[.]com/3da439a5bef462fa
hxxps[:]//theoryviraleliminate[.]com/?cid=3da439a5bef462fa

📄 Loaders (MD5):
1c507591246e5d7dfab64d972ba8139b
6653a7339e64fe6c98feba94380a7bc6
e07ce67fc21f87fa301c7c3a4a416c22

📦 Payload (MD5):
7300832837842224336503A33CBD8215

#ThreatIntel #XLL #HeartlessSoul #Malware #APT