Кампания началась около двух лет назад и сначала целилась в владельцев криптокошельков. Теперь фокус сместился: злоумышленники публикуют репозитории, которые выглядят как автоматизация сканирования, тестирование безопасности и разбор логов. Аудитория — те, кто по долгу службы запускает чужие скрипты.
Как устроено заражение
Вредоносный код спрятан в файлах проектов Visual Studio, Python-скриптах и Go-исходниках — за длинными последовательностями пробелов, приём старый, но работающий. В части проектов код выполняется на этапе pre-build, то есть ещё до компиляции.
Дальше PowerShell получает зашифрованную ссылку и скачивает модульный загрузчик на Electron с именем Microsoft.exe. Он закрепляется в системе, повышает привилегии, отключает защитные механизмы и внедряет следующую стадию в легитимные процессы.
Список обходов впечатляет: загрузчик выдаёт себя за explorer.exe, отключает Smart App Control, восстанавливает оригинальный код ntdll, делает прямые системные вызовы, патчит в памяти EtwEventWrite и AmsiScanBuffer, чтобы не писались события и не проверялись скрипты. Если основной режим не срабатывает, включается запасной — с исключениями Defender и внедрением через RegAsm.exe.
Финальные полезные нагрузки: AsyncRAT, клиппер, подменяющий адреса кошельков в буфере обмена, и стилер, который собирает данные браузеров, VPN, FTP-клиентов, игровых аккаунтов и токены Discord, а выгружает всё через Telegram-бота. Отдельно вредонос пытается удалить ESET, McAfee и Malwarebytes и мешает резервному копированию Windows.
Что делать
Проверьте, что запускалось на машинах за последние месяцы, особенно «полезные скрипты» из GitHub. Ищите Microsoft.exe, записи автозапуска, исключения Defender и подозрительные процессы. Скачиваемый сканер — это код, который получает ваши права: читать его перед запуском дешевле, чем разбирать последствия.
The campaign started about two years ago, initially targeting crypto wallet owners. The focus has now shifted: the attackers publish repositories that look like scan automation, security testing and log analysis. The audience is exactly the people whose job involves running other people’s scripts.
How the infection works
Malicious code is hidden in Visual Studio project files, Python scripts and Go sources — behind long runs of whitespace, an old technique that still works. In some projects the code runs at the pre-build stage, before compilation.
PowerShell then retrieves an encrypted link and downloads a modular Electron loader named Microsoft.exe. It establishes persistence, elevates privileges, disables protections and injects the next stage into legitimate processes.
The evasion list is impressive: the loader makes explorer.exe its apparent parent, disables Smart App Control, restores the original ntdll code, makes direct system calls, and patches EtwEventWrite and AmsiScanBuffer in memory to suppress event tracing and script scanning. If the main mode fails, a fallback kicks in with Defender exclusions and injection through RegAsm.exe.
The final payloads are AsyncRAT, a clipper that swaps wallet addresses in the clipboard, and a stealer collecting browser data, VPN and FTP client configuration, gaming accounts and Discord tokens, exfiltrating through a Telegram bot. The malware also tries to remove ESET, McAfee and Malwarebytes and interferes with Windows backups.
What to do
Review what has been run on machines in recent months, especially “useful scripts” from GitHub. Look for Microsoft.exe, autostart entries, Defender exclusions and suspicious processes. A downloaded scanner is code that receives your privileges: reading it before running is cheaper than dealing with the aftermath.