В Лаборатории Касперского также оценили Одиссею Нолана, но в другом аспекте: MovieReaper атакует пользователей по всему миру через скомпрометированные торренты.
Торрент-трекеры уже давно используются для распространения вредоносного ПО, маскирующегося под популярные фильмы, игры и другой контент.
Предыдущие исследования ЛК показали, что киберпреступники неоднократно задействовали торренты в качестве первоначального вектора заражения, применяя троянизированные кряки и установщики для охвата большого числа пользователей.
Инструкции по установке пиратского ПО регулярно предписывают пользователям отключать антивирус, приучая их игнорировать потенциальные угрозы, которые они сами приглашают на свои компьютеры.
В ходе анализа вредоносного ПО, использующего блокчейн-сети для своей C2-инфраструктуры, в ЛК обнаружили ранее неизвестный модульный многоэтапный фреймворк, маскирующийся под популярные фильмы, который назвали MovieReaper.
Вредоносная кампания затронула как частных лиц, так и организации в нескольких странах, включая Россию, Турцию, Японию, Кению, Уганду и Колумбию, а также в ряде европейских стран: Испанию, Нидерланды, Бельгию и Германию.
Кампания охватила организации из самых разных отраслей, включая коммерческие предприятия, госсектор, ИТ, консалтинг, розничную торговлю, транспорт и сельское хозяйство.
Причем злоумышленники скомпрометировали не сами торрент-трекеры. Вместо этого взломали широко используемый публичный репозиторий торрент-файлов - itorrents[.]org.
В результате трекеры, полагающиеся на этот репозиторий, начали непреднамеренно распространять вредоносные торрент-файлы среди своих пользователей. На дату публикации отчета распространяемый архив остается скомпрометированным.
Когда пользователь пытается загрузить торрент с помощью magnet-ссылки, легитимный торрент-архив возвращает другой торрент-файл, что приводит к скачиванию вредоносного загрузчика вместо нужного файла. Он используется для развертывания фреймворка MovieReaper.
Цепочка заражения состоит из нескольких шагов, при этом вся вредоносная нагрузка исполняется прямо в памяти так, что из всех файлов, только загрузчик попадает на диск перед выполнением, чтобы избежать обнаружения последующих этапов.
Вредоносное ПО не подвергнуто сильной обфускации, за исключением того, что строки зашифрованы с помощью собственного потокового шифра. Большинство контрмер были направлены на избежание обнаружения антивирусными песочницами.
В ходе этой кампании злоумышленники используют ресурсы различных коммерческих хостинг-провайдеров для своей C2. Кроме того, используется легитимный блокчейн Solana через RPC-эндпоинт api.mainnet.solana.com для доставки адреса C2 на второй стадии.
Такой подход предоставляет злоумышленникам децентрализованное хранилище для адресов C2, добавляя дополнительный уровень отказоустойчивости и затрудняя защитникам прерывание кампании путем простой блокировки IP-адресов C2-серверов.
Новое исследование выявило активность того же актора, которая прослеживается еще с октября 2025 года. Со временем кампания эволюционировала: авторы вредоносного ПО расширили свой арсенал и усложнили обнаружение загрузчика.
При этом общая схема осталась прежней: закодированные строки и части шеллкода загружаются по обычному протоколу HTTP, а для обхода песочниц и виртуальных машин используется несколько различных техник.
Тем не менее, автономность, модульность и выполнение этого фреймворка непосредственно в оперативной памяти создают потенциал для его повторного использования в будущих кампаниях с минимальными доработками.
Технические подробности, IOCs и разбор цепочки заражения - в отчете.
