Семейство: GoGoogle
Класс: загрузчик
Раздел: Загрузчики
Основание публикации: свежие наблюдения не старше 5 дней
Первое наблюдение в текущем наборе: 03.09.2026 23:17
Последнее наблюдение в текущем наборе: 03.09.2026 23:17
Образцов в пакете: 0; IOC: 1
Поведение, распространение и защита
Что делает
GoGoogle классифицируется как загрузчик (loader) для платформы Windows. Его основная задача — первичное закрепление на хосте жертвы и доставка вторичной полезной нагрузки. Сам по себе загрузчик не реализует конечную цель атаки: он обеспечивает исполнение следующего этапа цепочки заражения, которым может быть инфостилер, троян удалённого доступа, шифровальщик или иной модуль в зависимости от кампании.
Согласно тегам, связанным с недавними IOC-записями семейства в ThreatFox, распространение использует технику ClickFix — социальную инженерию, при которой жертве предлагается выполнить определённые действия (вставить команду в диалог «Выполнить», подтвердить установку или запустить скрипт), а также маскировку под установщик Google Meet (FakeInstaller). Это указывает на эксплуатацию доверия пользователей к продуктам Google и к процессу установки легитимного ПО.
Теги IOC-записей также содержат упоминания Latrodectus и LunarSpider. Latrodectus — семейство загрузчиков, с которым связывают доставку различных полезных нагрузок, включая программы-вымогатели. Связь на уровне тегов может означать, что GoGoogle выступает одним из векторов доставки для инфраструктуры, ассоциируемой с этими кампаниями, либо что аналитики группируют записи в общий кластер по тактическому сходству. Без детального разбора конкретного образца утверждать идентичность кодовой базы преждевременно.
Упоминание формата MSI среди тегов говорит о том, что хотя бы часть цепочки доставки использует пакеты установщика Windows Installer. MSI-пакет позволяет выполнить произвольные действия через Custom Actions, что делает его удобным контейнером для запуска загрузчика без привлечения исполняемого файла в привычном PE-формате.
Функциональные возможности самого загрузчика на уровне текущего набора данных не подтверждены статическим или динамическим анализом образцов. Типичный набор действий загрузчика такого класса включает: получение и расшифровку полезной нагрузки из удалённого источника, запись во временную директорию или в память, исполнение и, при необходимости, удаление собственных следов. Конкретные API, методы обфускации и механизмы закрепления для GoGoogle в открытых источниках на данный момент не детализированы.
Технический разбор образцов
В текущем пакете доказательств технические образцы отсутствуют. Ни формат исполняемого файла, ни архитектура, ни размер, ни сигнатуры, ни результаты антивирусных движков и YARA-сканирования для GoGoogle в данной выборке не представлены.
Единственный доступный слой данных — сводка IOC из ThreatFox: одна запись типа URL, категоризированная как payload_delivery (индикатор сервера распространения полезной нагрузки). Теги этой записи (ClickFix, FakeInstaller, GoogleMeet, Latrodectus, LunarSpider, msi) позволяют сделать выводы о контексте кампании и тактике доставки, но не о внутреннем устройстве самого загрузчика.
При появлении образцов в будущих обновлениях данный раздел будет дополнен покомпонентным разбором: формат и энтропия файла, импорты, строки, секции, поведение в песочнице и совпадения с известными YARA-правилами.
Как распространяется
Подтверждённый канал для текущих записей: доставка полезной нагрузки через URL (тип IOC — url, категория — payload_delivery). Теги указывают на сценарий, в котором пользователь взаимодействует с поддельной страницей установки Google Meet (FakeInstaller) и выполняет предложенные действия (ClickFix). Формат MSI среди тегов предполагает, что на одном из этапов жертве предлагается запустить установочный пакет.
Конкретный механизм первоначального контакта жертвы с поддельной страницей установки для данного семейства в текущих данных не раскрыт. Типичные для загрузчиков этого класса каналы, характерные для родственной тактики, но не подтверждённые напрямую для GoGoogle: фишинговые письма с ссылками, вредоносная реклама, компрометация легитимных сайтов для перенаправления на страницу загрузки.
Как обнаружить
- Мониторинг запуска msiexec.exe с параметрами, указывающими на установку из нестандартных или временных каталогов, особенно если процесс порождён браузером или скриптовым хостом.
- Контроль обращений к Windows Installer API (MsiInstallProduct, MsiSetProperty, MsiDoAction) из процессов, не являющихся доверенными установщиками.
- Детектирование паттерна ClickFix: аномальная последовательность «браузер → копирование в буфер обмена → запуск диалога выполнения или командной строки пользователем».
- Сетевой мониторинг: запросы к недавно зарегистрированным доменам, имитирующим инфраструктуру Google (включая поддомены и похожие написания), с последующей загрузкой MSI- или PE-файла.
- Анализ журналов Windows Event Log: события 1033/1034 (Windows Installer) с указанием нестандартного источника пакета; событие 4688 с подозрительной родительской цепочкой.
- EDR-правила на создание исполняемых файлов в каталогах %TEMP%, %APPDATA% или ProgramData непосредственно после завершения работы msiexec.
- YARA-сканирование по сигнатурам, ассоциированным с Latrodectus и LunarSpider, если такие правила доступны в подписке: совпадение может указывать на общую инфраструктуру или код загрузчика.
- Поведенческий признак: процесс, запущенный из MSI-пакета, обращается к интернету для получения дополнительного содержимого в течение первых секунд исполнения и не имеет цифровой подписи доверенного издателя.
Что делать при заражении
- Немедленно изолируйте хост от сети (отключение сетевого адаптера или блокировка на уровне коммутатора), чтобы прервать возможную загрузку вторичной нагрузки и эксфильтрацию.
- Сохраните оперативную память и снимок диска до каких-либо изменений: загрузчик мог уже доставить и запустить следующий компонент, и удаление самого загрузчика не закрывает инцидент.
- Проверьте журналы Windows Installer и журналы создания процессов за период, предшествующий обнаружению: установите, какой пакет был запущен, какие Custom Actions выполнялись и какие дочерние процессы были порождены.
- Просканируйте хост на наличие артефактов вторичной нагрузки: новые исполняемые файлы в пользовательских каталогах, запланированные задачи, записи в ключах автозагрузки (Run, RunOnce, Winlogon), службы.
- Проверьте сетевые журналы (прокси, DNS, NetFlow) на предмет обращений к инфраструктуре доставки и последующих соединений, которые могли быть инициированы вторичным компонентом.
- Если есть признаки кражи данных (инфостилер как вторая ступень) — инициируйте ротацию паролей, токенов сессий и ключей, к которым хост имел доступ.
- Определите критерий возврата хоста в эксплуатацию. Если целостность системы невозможно подтвердить (обнаружены руткит-механизмы, модификация системных файлов, неучтённые службы), полная переустановка ОС является наиболее надёжным вариантом. В противном случае допустима подтверждённая очистка с повторным сканированием и 72-часовой мониторинг без повторных срабатываний.
- Задокументируйте индикаторы для внутреннего SOC: временные метки, цепочку процессов, пути к артефактам — для корреляции с другими хостами.
Как снизить риск
- Ограничьте возможность запуска msiexec.exe из пользовательских каталогов и из контекста браузеров через AppLocker или WDAC-политики; разрешите установку MSI только из доверенных репозиториев.
- Внедрите обучение пользователей с конкретным сценарием: поддельные страницы установки популярного ПО (Google Meet, Zoom, Teams), предлагающие «нажать одну кнопку» или вставить команду. Акцент на том, что легитимные установщики не запрашивают ручное выполнение команд из буфера обмена.
- Настройте DNS-фильтрацию и веб-прокси на блокировку недавно зарегистрированных доменов и доменов, имитирующих известные бренды, особенно в категориях «загрузка ПО» и «установщики».
- Запретите или ограничьте использование буфера обмена для вставки команд в диалог «Выполнить» и терминальные окна через групповые политики или DLP-агенты, если это допустимо в вашей среде.
- Обеспечьте централизованный сбор и алертинг по событиям Windows Installer (Event ID 1033, 1034, 1042) с фильтрацией по нестандартным путям источника.
- Регулярно обновляйте YARA-правила и IOC-ленты из открытых источников и интегрируйте их в SIEM/EDR для раннего обнаружения инфраструктуры доставки.
- Для привилегированных рабочих станций и серверов применяйте политику, запрещающую установку любого ПО без одобрения через систему управления изменениями.
Источники
История обновлений статьи
- 04.09.2026 — Опубликована первая версия материала.
