В апреле 2026 года лаборатория безопасности Elastic Security Labs раскрыла изощрённую кампанию социальной инженерии, нацеленную на специалистов финансового и криптовалютного секторов. Злоумышленники злоупотребляют легитимной экосистемой плагинов популярного приложения для ведения заметок Obsidian, чтобы незаметно доставлять вредоносную нагрузку. Кампания, отслеживаемая под идентификатором REF6598, завершается развёртыванием ранее не документированного удалённого трояна (RAT), получившего название PHANTOMPULSE.
⚠️ Ключевой факт: Атака не эксплуатирует уязвимость в коде — она злоупотребляет штатной функциональностью синхронизации плагинов Obsidian, что позволяет обходить традиционные сигнатурные детекторы антивирусов.
Кампания демонстрирует высокий уровень подготовки и понимания психологии целевой аудитории. Атака разворачивается в несколько тщательно спланированных этапов:
Злоумышленники действуют под прикрытием венчурной фирмы, инициируя контакт с жертвами через LinkedIn:
Целевой вектор доступа — облачное хранилище Obsidian, контролируемое злоумышленником:
После активации плагина запускается многоэтапная цепочка доставки:
«Самый слабый элемент в любой системе безопасности — это человек. Технологии могут быть безупречны, но достаточно одной правильной приманки, чтобы всё рухнуло», — Кевин Митник, эксперт по кибербезопасности.
PHANTOMPULSE представляет собой полнофункциональный бэкдор для Windows с рядом уникальных особенностей:
Анализ бинарного файла выявляет характерные маркеры использования больших языковых моделей при разработке:
[STEP 1], [STEP 1/3]Одна из самых инновационных особенностей PHANTOMPULSE — использование публичного блокчейна для разрешения адресов командных серверов (C2):
input последней транзакции жёстко закодированного кошелька (0xc117688c530b660e15085bF3A2B664117d8672aA)http — принимает его как новый адрес C2Это обеспечивает операторам инфраструктурно-независимую ротацию: для смены адреса достаточно отправить транзакцию с закодированными данными в любой из трёх сетей.
🔍 Уязвимость дизайна: Вредонос не проверяет отправителя транзакции. Любой, кто знает адрес кошелька и ключ шифрования (оба извлекаются из бинарника), может отправить конкурирующую транзакцию и перехватить управление всеми заражёнными хостами.
PHANTOMPULSE поддерживает широкий спектр команд для удалённого контроля:
| Команда | Действие |
|---|---|
inject |
Инъекция шеллкода или DLL в целевой процесс |
drop |
Сброс файла на диск и его выполнение |
screenshot |
Создание и загрузка скриншота экрана |
keylog |
Запуск или остановка кейлоггера |
uninstall |
Полное удаление персистентности и очистка следов |
elevate |
Повышение привилегий до SYSTEM через COM elevation |
downgrade |
Переход от SYSTEM к elevated admin |
При каждом «сердцебиении» вредонос отправляет на C2 исчерпывающую информацию о системе:
Атака кросс-платформенна: для macOS реализована отдельная цепочка доставки:
Плагин Shell Commands исполняет Base64-кодированный payload через системную утилиту osascript:
~/Library/LaunchAgents/com.vfrfeufhtjpwgray.plistДроппер использует несколько техник уклонения от анализа:
Если основные домены недоступны, дроппер обращается к публичному каналу Telegram:
t[.]me/ax03botЭта техника «dead drop» через Telegram позволяет операторам ротировать инфраструктуру без регистрации новых доменов.
«Безопасность — это не продукт, а процесс. Нельзя один раз настроить защиту и забыть о ней. Угрозы эволюционируют, и защита должна эволюционировать вместе с ними», — Брюс Шнайер, криптограф.
Расследование Elastic Security Labs позволило восстановить ключевые элементы инфраструктуры злоумышленников:
0xc117688c530b660e15085bF3A2B664117d8672aA0x38796B8479fDAE0A72e5E7e326c87a637D0Cbc0E на сумму ~$5.84panel.fefea22134[.]net и Cloudflare Tunnel trycloudflare[.]com195.3.222[.]251 (хостинг в Польше, AS 201814 MEVSPACE)panel.fefea22134[.]net за Cloudflare proxy0x666[.]info с поддельным Chrome User-Agent💡 Практический вывод: Использование Cloudflare Tunnel и публичных блокчейнов для C2 усложняет блокировку по доменам или IP, требуя поведенческого анализа и детекции аномальных паттернов.
Для обнаружения активности, связанной с кампанией REF6598, рекомендуется мониторить следующие признаки:
.obsidian/plugins/obsidian-shellcommands//stuk-phase, /v1/updates/checkBitsTransfer для загрузки исполняемых файлов из ненадёжных источниковmodule=account&action=txlistcheck к неизвестным доменам70bbb38b70fd836d66e8166ec27be9aa8535b3876596fc80c45e3de4ce327980 — загрузчик PHANTOMPULL33dacf9f854f636216e5062ca252df8e5bed652efd78b86512f5b868b11ee70f — финальный RAT PHANTOMPULSEЛаборатория опубликовала правила для детекции компонентов атаки. Пример для PHANTOMPULL:
rule Windows_Trojan_PhantomPull {
meta:
author = "Elastic Security"
family = "PhantomPull"
strings:
$djb2 = { 45 8B 0C 83 41 BA A7 C6 67 4E 49 01 C9 }
$url = "/v1/updates/check?build=payloads" ascii
condition:
2 of them
}
Кампания REF6598 иллюстрирует растущий тренд в киберпреступности:
Для криптовалютного сектора риски особенно высоки: компрометация рабочего места финансового специалиста может привести к утечке приватных ключей, доступу к торговым терминалам или манипуляциям с корпоративными кошельками.
«В мире криптовалют ваша безопасность — это ваша ответственность. Нет службы поддержки, которая вернёт средства после компрометации рабочего места», — Андреас Антонопулос, эксперт по биткоину.
Организациям и пользователям в финансовом и крипто-секторах рекомендуется:
Эксперты прогнозируют дальнейшее развитие данного вектора угроз:
Ответ индустрии безопасности должен быть пропорционален: переход от сигнатурного анализа к поведенческому, от периметровой защиты к нулевому доверию (Zero Trust), от реактивного реагирования к проактивному хантингу.
«Инновации в безопасности должны опережать инновации в атаках. Это гонка, в которой нельзя останавливаться», — Виталик Бутерин, сооснователь Ethereum.
Кампания REF6598 — не просто очередной инцидент безопасности, а сигнал о фундаментальном сдвиге в тактике злоумышленников. Когда атаки строятся не на эксплуатации багов, а на злоупотреблении легитимными функциями, традиционные подходы к защите теряют эффективность.
Для криптовалютного сектора уроки особенно актуальны: компрометация рабочего места через, казалось бы, безобидное приложение для заметок может привести к потере миллионов. В мире, где приватный ключ — это абсолютный контроль, а транзакции необратимы, профилактика и проактивная защита становятся критически важными.
🎯 Главный принцип: В эпоху, когда любой доверенный инструмент может стать вектором атаки, безопасность строится не на запретах, а на понимании, мониторинге и быстром реагировании. Доверяй, но верифицируй — каждый плагин, каждый запрос, каждое подключение.
Пока злоумышленники продолжают искать новые способы обхода защиты, ответственность за безопасность распределяется между разработчиками приложений, специалистами по защите и конечными пользователями. И в этой непрерывной эволюции побеждают те, кто видит не только угрозы, но и возможности сделать системы устойчивее, прозрачнее и надёжнее.
«Безопасность — это не состояние, а процесс. Каждая уязвимость — это урок, который делает систему сильнее», — Брюс Шнайер, эксперт по кибербезопасности.
