💀 Dead drop через легитимный Azure: китайские группы перешли на бесконтактный C2 Operation Dragon Weave использует AdaptixC2-имплант AZUREVEIL, который не устанавливает прямое соединение с сервером управления. Вместо этого обе стороны — и жертва, и оператор — пишут команды и результаты в общий контейнер Azure Blob Storage. Никаких подозрительных IP во внешних соединениях, трафик легитимен на уровне TLS и домена — для SOC это кошмар обнаружения без анализа содержимого запросов к *.blob.core.windows.net. Инфекционная цепочка начинается с фишингового ZIP, внутри которого жертва видит PDF-документ. Реально это LNK-файл, запускающий PowerShell для извлечения и выполнения Rust-лоадера RUSTCLOAK. Либо бинарник из того же архива самостоятельно запускает цепочку — два независимых пути к финальной нагрузке. Дальше классический DLL side-loading через легитимный UnityPlayer.dll, загрузка AZUREVEIL и 36 команд на полный контроль хоста: shell, SOCKS-прокси, BOF-исполнение в памяти, порт-форвардинг. Параллельно обнаружен Go-бэкдор TencShell у индийского производства — имплант на основе rshell с API-имперсонацией Tencent. ESET фиксирует резкий рост активности: SteppeDriver с ShadowPad и CurlyDoor, UNC5221 с пассивным бэкдором PhiliKit, NegativeGlimmer с AdaptixC2 и последующим переходом на Cobalt Strike. География: Франция, Монголия, Панама, Камбоджа, Южная Корея, теперь Чехия и Тайвань. → Dead drop-модель C2: команды пишутся в Azure Blob Storage, агент читает их pull-методом без обратного соединения → RUSTCLOAK: Rust-лоадер с анти-песочницей, выходит только если окружение похоже на реальное → 36 команд AZUREVEIL: включая in-memory BOF, SOCKS-прокси, управление C2-сервером с хоста Dead drop resolver через легитимные облачные API — это архитектурный сдвиг. Различать вредоносную активность от бизнес-логики на уровне сетевых индикаторов теперь практически невозможно без анализа HTTP-тел запросов. Сколько SIEM-ов умеют парсить body исходящих PUT-запросов к Azure Storage в реальном времени? По данным The Hacker News #APT #AdaptixC2 #DLLSideloading #AzureBlobStorage #deadDrop