Скрываясь на виду: как PhantomCore маскирует свою активность с помощью легитимных инструментов

🫣 Скрываясь на виду: как PhantomCore маскирует свою активность с помощью легитимных инструментов

Команда PT ESC IR представила новое исследование, посвященное деятельности хакерской группы PhantomCore. Оно базируется на реальных кейсах расследования инцидентов, произошедших в период с осени 2025 года по первый квартал 2026 года, и содержит детальный разбор атак.

В материале поэтапно восстанавливается вся цепочка компрометации: от эксплуатации критических уязвимостей в TrueConf Server (которые были устранены еще в августе 2025 года и могут использоваться только на непропатченных серверах) для получения первоначального доступа и методов продвижения по сети с кражей учетных данных с помощью легитимных DFIR-инструментов — до механизмов закрепления в инфраструктуре. На этом этапе атакующие комбинируют собственные бэкдоры (MacTunnelRAT, PhantomSscp, PhantomProxyLite) с инструментом для расследований Velociraptor, что позволяет им эффективно маскировать вредоносную активность под легитимные действия специалистов по информационной безопасности.

🚇 Одним из новых и интересных инструментов является MacTunnelRAT — PowerShell-скрипт, предназначенный для создания обратного SSH-туннеля. Он работает только на скомпрометированных хостах и расшифровывает список URL C2-серверов, используя MAC-адрес первого физического сетевого интерфейса.

function Get-MacAddressAsUUID {
    try {
        $adapter = Get-NetAdapter | Where-Object { $_.InterfaceType -eq 6 } | Select-Object -First 1
        if ($adapter) {
            return $adapter.MacAddress
        }
        return ""
    } catch {
        return ""
    }
}Code language: PowerShell (powershell)

В обновленной версии появилась возможность обновления URL C2-серверов (на скриншоте).

Подробно про MacTunnelRAT и другие актуальные техники группы PhantomCore читайте в нашем блоге 😮

#dfir #ir #malware
@ptescalator