Новая кампания JS#SMUGGLER незаметно устанавливает NetSupport RAT через скрытые скрипты и цепочку редиректов

11.12.2025

Исследователи Securonix обнаружили многоэтапную web-атаку под названием JS#SMUGGLER. Злоумышленники внедряют на скомпрометированные сайты обфусцированный JavaScript, который запускается при обычном посещении страницы и незаметно переводит пользователя по скрытым редиректам.

После перехода запускается следующий этап: вредоносное HTA-приложение через mshta.exe. Оно разворачивает PowerShell-скрипт, работающий полностью в памяти. Финальный шаг цепочки - установка NetSupport RAT. Это легитимная утилита удалённого администрирования, которую преступники используют как полноценный троян для доступа к системе, файловым операциям и удалённому управлению.

Особенность кампании - гибкая логика. При посещении сайта с мобильного устройства загружается одна ветка скриптов, с десктопа - другая. Это усложняет анализ и увеличивает вероятность успешной доставки полезной нагрузки.

Атака практически не видна на раннем этапе: браузер просто выполняет вложенный JavaScript, который маскируется под обычный код страницы. В Securonix говорят, что такие схемы становятся всё популярнее, потому что они обходят фильтры и используют легитимные системные компоненты.

похожие материалы

Украинские телефонные мошенники переключились с россиян на жителей Европы

Украинские колл-центры, занимавшиеся телефонным мошенничеством, начали смещать фокус с граждан России на жителей стран Европы и СНГ.

подробнее

Мошенники начали подделывать голоса следователей с помощью ИИ

Следственное управление в Калининградской области предупредило о новой схеме дистанционных мошенничеств, в которой злоумышленники используют технологии искусственного интеллекта для подделки голосов и изображений публичных сотрудников Следственного комитета.

подробнее