💀 ScarCruft маскирует RAT под уведомление Microsoft об OTP-атаке Атакующие взяли стандартное пугало — «в вашем аккаунте подозрительная активность, срочно смените пароль» — и превратили его в вектор доставки NarwhalRAT. Письмо имитирует легитимное оповещение службы безопасности Microsoft: получателю сообщают о повторной генерации одноразовых кодов, намекают на компрометацию учётной записи и требуют немедленно ознакомиться с приложенным «советом». Вложение — не документ HWP, а ZIP-архив с вредоносным ярлыком LNK. После запуска LNK запускает цепочку batch-скриптов: сначала загружается легитимный бинарник Python с официального сайта и Windows Security Catalog-файл с основной нагрузкой, затем — сам NarwhalRAT. Устойчивость к удалению обеспечивает задача в планировщике с именем «MicrosoftUserInterfacePicturesUpdateTackMachine», запускающая CAT-файл и загружающая полезную нагрузку напрямую в память, без артефактов на диске. Функциональность RAT обширна: кейлоггинг, скриншоты высокого разрешения, запись звука с микрофона, сбор содержимого USB-носителей. Инфраструктура C2 выстроена с двойным резервированием. Основной канал — скомпрометированные южнокорейские сайты daehoat[.]com и novel21[.]co.kr, резервный — легитимное облачное хранилище pCloud через dead drop resolver: в коде жёстко прописаны параметры folderid и auth для взаимодействия с API. По данным Genians Security Center, схема заражения и имена задач устойчивости практически идентичны предыдущей кампании ScarCruft, использовавшей подтверждения билетов и приглашения на мероприятия. Меня цепляет архитектурный уровень маскировки: легитимный Python, CAT-файл вместо EXE, C2 через pCloud API. Это уже не «фишинг с вложением», а полноценный living-off-the-land на всех слоях. SOC, заточенный искать подозрительные бинарники и домены, пропустит такую цепочку — потому что на каждом шаге всё выглядит штатно. Вопрос к коллегам: кто реально отслеживает аномалии в задачах планировщика с именами, маскирующимися под Microsoft-темы, но с опечатками вроде «TackMachine»? Hackernews #ScarCruft #NarwhalRAT #APT37 #LNK #LivingOffTheLand