Злоумышленники используют FTP-баннеры для сокрытия команд, которые запускают два ранее не описанных RAT под названиями E4del и PINHOLE.

Исследователи MalwareHunterTeam обнаружили эту необычную технику в июле в ходе расследования атаки, в которой использовались файлы ярлыков (.LNK) и баннеры FTP-серверов в качестве средств перехвата команд (DDR).

FTP-баннеры - это текстовые строки, которые сервер использует в качестве приветственного сообщения для подключающихся хостов перед их авторизацией.

Внедряя команды в первоначальный ответ, отправляемый при подключении скомпрометированной системы к FTP-серверу, злоумышленник, внедряющий вредоносное ПО, может получать инструкции с удаленного сервера.

После обнаружения в ходе расследования использования FTP-баннеров для доставки вредоносных команд исследователи SOCRadar выяснили, что эта техника по-прежнему используется.

Используя поисковые запросы FOFA, они установили, что эта технология используется с начала июля 2026 года и остается в силе, при этом новая инфраструктура была обнаружена совсем недавно, в августе 2026 года.

В своем отчете SOCRadar сообщает, что наблюдаемые атаки начинаются с ZIP-архива, который запускает цепочку заражения на основе LNK. Первоначальное заражение, вероятно, происходит посредством фишинга.

Цепочка заражения распространяет два RAT под названиями E4del и PINHOLE по двум различным путям заражения, при этом оба загружают скрипт PowerShell из FTP-баннеров.

E4del - это RAT-программа на основе Node.js, упакованная в приложение Electron с цифровой подписью, которое маскируется под Discord.

RAT поддерживает выполнение команд через постоянные или временные оболочки, создание снимков экрана, потоковую передачу рабочего стола через WebSockets, а также загрузку и выполнение дополнительных полезных нагрузок.

В SOCRadar также упоминается модуль Node.js под названием  crypto32.node, который пытается повысить привилегии, но исследователям не удалось получить его для анализа.

PINHOLE получает конфигурацию C2 из пинов Pinterest и вопросов SurveyMonkey, что обеспечивает универсальность и устойчивость к удалению контента.

Вредоносная ПО оставляет минимальный след на хосте, одновременно храня в памяти только один 4-килобайтный фрагмент полезной нагрузки, и внедряя финальную сборку в приостановленный процесс ApplicationFrameHost.exe с помощью инъекции Early Bird APC.

PINHOLE поддерживает 14 команд, включая перечисление файлов, загрузку и скачивание файлов, выполнение команд, управление процессами, создание скриншотов и развертывание модуля для кражи учетных данных, хранящихся в браузерах.

На момент анализа скрипт PINHOLE зафиксировал всего 11 событий выполнения, что позволяет предположить, что кампания находилась на ранней стадии.

Использование FTP-баннеров для доставки команд, безусловно, является новаторской идеей, но SOCRadar утверждает, что этот подход менее скрытен, чем традиционные веб-сервисы DDR (например, X, GitHub, YouTube), поскольку FTP-соединения с неизвестными серверами с большей вероятностью будут заметны.

Исследователи отмечают, что эта методика очень универсальна и может быть «легко» адаптирована для кампаний с социнженерией ClickFix. IOCs - в отчете.