Google DoubleClick использовали как прикрытие: фишинг вел к DesckVB RAT

Исследователи Huntress обнаружили malspam-кампанию, в которой злоумышленники использовали домен Google DoubleClick для обхода защитных систем и доставки DesckVB RAT - .NET-трояна удаленного доступа, активного с февраля 2026 года. Источник: The Hacker News.

Атака начиналась с фишингового письма с HTML-вложением. После открытия файл запускал meta-refresh-редирект на легитимный click-tracking URL Google DoubleClick Campaign Manager. Такой промежуточный переход снижал подозрительность цепочки: многие защитные решения не блокируют домен Google как вредоносный.

Дальше жертву перебрасывали на редиректор, который декодировал email-адрес из Base64 и подставлял его в фишинговую страницу. Кампания автоматически подтягивала брендинг компании и данные о местоположении, поэтому операторам не нужно было вручную готовить отдельную приманку под каждую организацию.

На странице размещалась кнопка «Download PDF». После клика сервер отдавал ZIP-архив с JavaScript-загрузчиком. Он запускал PowerShell-скрипт, получал .NET-loader и разворачивал DesckVB RAT. На финальном этапе использовался process hollowing: вредоносный код внедрялся в процессы, подписанные Microsoft.

После запуска троян связывался с C2-сервером по raw TCP sockets, собирал данные о системе, добавлял исключения в Microsoft Defender, патчил AMSI и ETW на уровне native API, а также закреплялся через Run/RunOnce в реестре и загрузчик в Startup-папке.

Huntress рекомендует организациям настроить групповые политики так, чтобы .js, .vbs и .hta открывались в Notepad по умолчанию, а не исполнялись. Дополнительно стоит использовать DMARC, DKIM и SPF, а также почтовые шлюзы с песочницей для проверки вложений и ссылок до доставки пользователю.