**FTP-баннеры как новый вектор доставки троянов: разбор техники E4del и PINHOLE**
**FTP-баннеры как новый вектор доставки троянов: разбор техники E4del и PINHOLE** --------------------- Привет, подписчики! На связи команда © DevGeek.IT, 2026 --------------------- Сегодня разберём свежую технику, которую в июле 2026 года обнаружили специалисты MalwareHunterTeam, а затем подтвердили исследователи SOCRadar. Злоумышленники начали использовать приветственные баннеры FTP-серверов для скрытой передачи команд и установки двух ранее неизвестных троянов удалённого доступа – E4del и PINHOLE. Метод не требует авторизации на сервере: команды передаются ещё до того, как система успевает ввести логин и пароль. --------------------- Атака начинается с ZIP-архива, который содержит LNK-файл, замаскированный под PDF. Скорее всего, первоначальное проникновение происходит через фишинг. Дальше запускается цепочка: ярлык передаёт команды напрямую в cmd, оттуда идёт обращение к FTP-серверу, а в ответном баннере уже лежит вредоносный PowerShell-скрипт. На практике это выглядит как обычный файл, который пользователь принимает за безобидный PDF-документ, а внутри – полноценный загрузчик. --------------------- Теперь подробнее о троянах. E4del – это RAT на базе Node.js, упакованный в приложение Electron с цифровой подписью, которое маскируется под Discord. Он умеет выполнять команды через постоянные или временные оболочки, делать снимки экрана, транслировать рабочий стол через WebSocket, а также загружать и запускать дополнительные вредоносные модули. В цепочке доставки упоминается модуль crypto32.node, который пытается повысить привилегии в системе – но исследователям не удалось его заполучить для анализа. --------------------- Второй троян – PINHOLE – работает хитрее. Его конфигурация C2-сервера извлекается из публикаций в Pinterest и ответов на SurveyMonkey. Это делает инфраструктуру гибкой и устойчивой к блокировкам: даже если один канал перекроют, данные можно подтянуть из другого. Сам троян оставляет минимум следов: шелл-код динамически подменяется в памяти, и в каждый момент времени там находится только один фрагмент полезной нагрузки размером 4 КБ. Финальная сборка внедряется в приостановленный процесс ApplicationFrameHost.exe с помощью техники Early Bird APC Injection. --------------------- PINHOLE поддерживает 14 команд: просмотр файлов, загрузка и выгрузка данных, выполнение команд, управление процессами, создание снимков экрана и установка модуля для кражи учётных данных из браузеров. На момент анализа скрипт был запущен всего 11 раз – это говорит о том, что кампания находится на ранней стадии. --------------------- **Фишка от DevGeek:** если в вашей сети есть FTP-серверы, которые принимают соединения извне – обязательно проверьте их баннеры. Злоумышленники могут использовать даже ваш собственный сервер как ретранслятор команд, если он скомпрометирован. Регулярно аудируйте приветственные сообщения и логи подключений – это поможет вовремя заметить аномалии. --------------------- **На что обратить внимание:** исследователи SOCRadar отмечают, что FTP-баннеры – это менее скрытный метод, чем традиционные веб-механизмы Dead Drop Resolver через X, GitHub или YouTube. Дело в том, что FTP-подключения к неизвестным серверам с большей вероятностью привлекут внимание сетевых администраторов. Однако эта техника очень универсальна и может быть легко адаптирована для кампаний с использованием социальной инженерии ClickFix. Не расслабляйтесь только потому, что FTP-трафик кажется устаревшим – его как раз реже мониторят. --------------------- Полный отчёт SOCRadar с индикаторами компрометации доступен по ссылке в источнике – он поможет специалистам по ИБ выявить вредоносную инфраструктуру и заражённые устройства в сети. Держите руку на пульсе и не забывайте проверять даже те векторы, которые кажутся «древними» – злоумышленники умеют оживлять их новыми способами. --------------------- • 💳 Понравилась статья? • Поддержать канал можно здесь:👇 https://yoomoney.ru/fundraise/1FR6ECUSV0I.260210 И здесь:👇