Эксперты из SOCRadar зафиксировали новую схему атак, где FTP-баннеры выступают в роли dead drop resolver для передачи команд вредоносному ПО. Техника, ранее известная только в теории, теперь применяется в реальных кампаниях с лета 2026 года.

Таким способом злоумышленники распространяют два ранее неизвестных Remote Access Trojan — E4del и PINHOLE. Вместо классических C2-серверов или DNS-запросов, команды прячутся в текстовых приветствиях FTP-серверов, что затрудняет их обнаружение сетевыми фильтрами.

Атака выглядит так: вредонос подключается к легитимному FTP-серверу, читает баннер, извлекает из него зашифрованные инструкции и выполняет их. Такой подход позволяет обходить статические сигнатуры и sandbox-решения, которые не ожидают команд в протокольных ответах.

Оба трояна обладают стандартным набором функций для удалённого управления: сбор данных, загрузка дополнительных модулей, работа с файлами. Отличие лишь в способе получения команд — жёстко прописанный адрес FTP в коде, что делает кампанию зависимой от доступности конкретного сервера.

На данный момент неизвестно, кто стоит за атаками и какие цели преследуются. Однако использование такого нестандартного канала связи говорит о том, что авторы вредоноса ищут новые пути обхода защитных решений, и в ближайшее время стоит ожидать роста подобных кампаний.