Исследователи Malwarebytes обнаружили изящную атаку: хакеры создали копию официального сайта FileZilla под адресом filezilla-project[.]live и выложили там модифицированную портативную версию 3.69.5. Сам FileZilla чист, злоумышленники просто добавили в архив один файл.

Атака основана на особенности Windows: при запуске программа ищет DLL-библиотеки сначала в своей папке, а потом в System32. Хакеры подложили version.dll прямо в папку FileZilla. Оригинальный дистрибутив этого файла не содержит, настоящая библиотека лежит в системной директории. Но Windows находит подделку первой и загружает её в память раньше легитимной.

Process Monitor показал, что все остальные системные библиотеки грузятся из System32, а version.dll, из локальной папки. Через 17 миллисекунд вредонос ищет version_original.dll для перенаправления вызовов к оригиналу, чтобы FileZilla работал нормально.

Распознать заражённый архив можно по датам файлов: из 918 файлов 917 датированы 12 ноября 2025-го, как в оригинале, а version.dll датирован 3 февраля 2026-го.

Перед атакой, троян проверяет окружение на признаки виртуальной среды: ищет VirtualBox, анализирует BIOS, использует механизм write-watch (отслеживание записи в память) для обнаружения сканирования памяти. Если что-то подозрительно, засыпает. Потом связывается с управляющим сервером через DNS-over-HTTPS, отправляя запросы к публичному серверу Cloudflare (1.1.1.1), это обходит корпоративный DNS-мониторинг и защиту на 53-м порту.

Malwarebytes считают, что возможности трояна шире кражи FTP-паролей: есть признаки внедрения в процессы, закрепления в системе и потенциального шифрования данных. Украденные учётки FTP дают доступ к веб-серверам и хостингам жертв.

Несколькими неделями ранее та же команда нашла аналогичную атаку через поддельный 7zip[.]com с зараженным инсталлятором, который превращал компьютеры в прокси-серверы.

Hacker's TOYS