ClickFix-приманки распространяют новый троян ChainScript с обнаружением C2 через Polygon

Исследователи Blackpoint Adversary Pursuit Group обнаружили ранее не описанный троян удалённого доступа ChainScript, который распространяют через приманки, похожие на ClickFix. В одной из зафиксированных цепочек жертве предлагают скачать MSI-установщик, замаскированный под Spotify; файл запускается через msiexec.exe.

После запуска установщик размещает в системе Node.js и JavaScript-агент ChainScript, используя скрытые этапы с PowerShell и VBScript. Компоненты сохраняются в каталогах внутри %LOCALAPPDATA%, названия которых имитируют пути Microsoft. Основным загрузчиком служит VBScript, а закрепление в системе обеспечивается заданием в планировщике; в качестве резервного механизма используется ключ Run в реестре.

ChainScript подключается к управляющей инфраструктуре по WebSocket и получает команды оператора. Троян поддерживает интерактивное выполнение CMD и PowerShell, операции с файлами, создание снимков экрана, загрузку дополнительных полезных нагрузок и удалённое выполнение JavaScript. Кроме того, он может искать криптокошельки — как настольные приложения, так и браузерные расширения. Среди доступных команд есть обновление самого трояна и удаление механизмов закрепления.

Отличительная особенность ChainScript — способ поиска управляющего сервера. Вместо жёстко заданного адреса вредоносная программа использует смарт-контракт Polygon, из которого узнаёт адрес актуальной WebSocket-инфраструктуры. По оценке Blackpoint, такая схема позволяет операторам перенаправлять заражённые устройства на новые серверы без замены самого импланта, противостоять попыткам отключения инфраструктуры и усложняет традиционное обнаружение по индикаторам.

Исследователи фиксировали разные названия сборок ChainScript: ComponentTask33, UpdateDigital, HostShared и OrchidViolet66. ChainScript также представлялся программным обеспечением Spotify, Zoom Workplace и Microsoft Teams.