Хабр, привет! На связи аналитики GSOC.

В начале июля мы обнаружили фишинговую атаку, в которой злоумышленники задействовали бренд GIS DAYS. Письмо пришло с внешнего адреса annaborisova.official@mail[.]ru с темой «Приглашение на GIS DAYS 2026 – форум по информационной безопасности». В нём находились PDF-файл с приглашением и запароленный архив с исполняемыми файлами .exe.

PDF-приглашение мимикрирует под легитимный документ, в котором были использованы актуальный логотип мероприятия этого года, поддельный сертификат электронной подписи, основная публичная информация о мероприятии, а в качестве отправителя был указан генеральный директор.

В конце документа написан пароль от архива, в нём — два исполняемых файла: «GISDAYS_2026_Гостевое_приглашение_для_представителей_компаний.exe  и GISDAYS_2026_для_руководителей_ИТ_и_ИБ_направления_и_темы_форума.exe»

Мы проанализировали их в песочнице и выяснили, что оба файла относятся к типу вредоносного ПО — троян.

После запуска трояна начинается самое интересное. Закрепление происходит путём создания четырёх запланированных задач в определённом порядке.

Первым этапом создаётся задача «MicrosoftEdgeUpdateTaskUser», в которой происходит загрузка архива с OpenSSH с C2-сервера 170.168.1[.]66 посредством scp.

Далее создаётся запланированная задача «MicrosoftEdgeUpdateTaskUserDev» для распаковки полученного архива с использованием командлета Expand-Archive.

Затем третья задача «UpdateBUS» устанавливает соединение по протоколу ssh с C2 89.23.116[.]183.

Последняя задача «MicrosoftEdgeUpdateTaskKernel» отвечает за запуск сервера OpenSSH.

Причём каждая созданная задача мимикрировала под легитимные, используя в наименовании Microsoft.

В конце ВПО для отвлечения внимания с помощью explorer запускает документы с внешнего адреса kazansky.camdvr[.]org.

На этом, казалось бы, всё, фишинг разобран, индикаторы получены, IP и домены заблокированы. Но мы были бы не собой, если бы не пошли раскручивать историю дальше.

Мы начали с конца и обратили внимание на домен, где лежали IP PDF-приманки. Репутация домена была негативной у нескольких вендоров.

В связях с ним находилось два объекта, и, судя по отчётам из песочницы, оба экземпляра являются аналогичного ВПО.

ВПО снова создаёт приманку для пользователя, однако ведёт на другой документ, который является памяткой о другом форуме по безопасности.

Затем мы нашли ещё примеры аналогичных рассылок, но с информацией о других форумах.

По наименованию PDF, расположенных на узле kazansky.camdvr[.]org, можно предположить, что фишинговая кампания идёт с 22 мая 2026 года.

Для защиты от такого рода фишинга рекомендуем обязательно проверять отправителя письма, не скачивать архивы, полученные в ходе подозрительной переписки, использовать почтовый шлюз, провести блокировку вредоносных IP и доменов.

Форум GIS DAYS (Global Information Security Days: дни глобальной информационной безопасности) компании «Газинформсервис» состоится в девятый раз, и в этом году пройдёт с 30 сентября по 2 октября. Уже традиционно частью мероприятия являются Студенческий день (GIS Student Day), проходящий в Санкт-Петербурге, и Бизнес-день, который проводится в Москве. Оргкомитет GIS DAYS заверяет, что все официальные коммуникации проходят исключительно через верифицированные каналы связи. Актуальная информация о форуме традиционно публикуется на официальном сайте мероприятия.

Авторы исследования: специалисты GSOC компании «Газинформсервис»

1. Евгений Бобров, аналитик угроз

2. Владислав Шелепов, аналитик угроз

3. Никита Кондренков, аналитик угроз

4. Андрей Жданухин, руководитель L1 группы аналитики