💀 Cloud Atlas перевела бэкдор на Go: C2 через WebRTC и Trello В мае 2026 года APT-группа Cloud Atlas пополнила инструментарий новым бэкдором CloudAtlasGo — исполняемым файлом на Golang размером более 10 МБ. Группа, десятилетиями полагавшаяся на скриптовые импланты (VBShower, PowerShower), теперь применяет компилируемый код и технологию WebRTC. Вектор доставки остался прежним: фишинговый документ с CVE-2018-0802 в редакторе формул загружает RTF-шаблон и HTA-файл, те развёртывают VBShower и PowerShower, а последний уже подгружает Go-бэкдор. Такой апгрейд при сохранении архаичного десантного модуля намекает на осознанную ставку на непропатченные машины в целевых сетях. CloudAtlasGo использует WebRTC для прямого пирингового соединения между заражённой системой и оператором. Согласование сессии идёт через SDP-сообщения, зашифрованные в Base64/AES и сжатые Brotli, которые передаются через облачные API — в первую очередь Trello, но доступны также WebDAV и SFTP. Встроенный YAML-конфиг хранит учётные данные и эндпоинты сервисов. Перед стартом бэкдор проверяет окружение на виртуализацию и отладчик, а после инициализации развёртывает несколько каналов данных: remote для команд и выгрузки файлов, cmdqueue для очереди задач, rportfwd для проброса портов и control для keep-alive. Возможности включают скачивание, запуск, сетевую разведку, а также использование хоста как SOCKS5-прокси. По данным «Лаборатории Касперского», бэкдор применялся для кражи документов, учётных данных и горизонтального продвижения. • WebAccess.exe: 26BC6B5A76DFD760D7920BB1C952DB98 • ttsvr.exe: 3607985A148743AE3D1F60A6D762E95C • PhotoAcqsl.exe: 3FBFD9ECD3C63C24692FEB6A7D6DF246 • wsstr.exe: 77636EA677782DB380E314C5F2DFBB63 Использование Trello как канала доставки SDP-сообщений не просто экзотика — это перенос C2-коммуникации в доверенный облачный сервис, который практически никто не блокирует. WebRTC-трафик в обход корпоративных прокси и без внятной сигнатуры ставит крест на большинстве эвристик NGFW, заточенных под HTTPS. Ищите аномалии API-вызовов к Trello и неподписанные бинарники на Go в неожиданных локациях — хеши устареют быстрее, чем вы обновите IoC. #CloudAtlas #CloudAtlasGo #WebRTC #Golang #APT