Обзор и происхождение
DarkVNC — семейство вредоносного ПО для Windows, относящееся к классу инструментов удалённого доступа (RAT/backdoor) с функциональностью VNC-управления. Его основная задача — предоставить оператору скрытое интерактивное управление рабочим столом жертвы: просмотр и управление экраном, выполнение команд, загрузку и запуск вторичной нагрузки. Фактически семейство совмещает модель ботнета (пул управляемых хостов с C2-инфраструктурой) с возможностями удалённого администрирования.
Семейство фигурирует в каталоге Malpedia (Windows-раздел), что подтверждает его признание как самостоятельной отслеживаемой единицы. Актуальная активность подтверждается свежими записями в базе ThreatFox: зафиксированы индикаторы категории botnet_cc — адреса серверов управления (C&C), что указывает на эксплуатацию семейства на момент подготовки профиля.
Целевая среда — пользовательские и корпоративные рабочие станции Windows. Вероятная модель распространения — массовые фишинговые рассылки и доставка через загрузчики/стилеры, после чего VNC-доступ используется оператором для ручного управления хостом, кражи данных или развёртывания дополнительных вредоносных компонентов. Детальная публичная документация по DarkVNC ограничена, поэтому часть контекста ниже носит классовый характер и требует подтверждения на образцах.
Функциональные модули
- VNC-компонент (удалённый рабочий стол): ядро семейства — встроенный VNC-сервер, позволяющий оператору в реальном времени видеть экран жертвы и управлять мышью/клавиатурой, обходя ограничения классических RAT-консолей.
- C2-канал: связь с сервером управления (в наблюдаемых записях — индикаторы формата ip:port, категория botnet_cc) для регистрации бота и приёма команд.
- Исполнение команд и вторичная нагрузка: типовая возможность загрузки и запуска дополнительных исполняемых файлов на скомпрометированном хосте; конкретные механизмы доставки нагрузки требуют подтверждения на образцах.
- Закрепление: предполагается применение стандартных механизмов персистентности Windows (ключи Run/RunOnce, задачи планировщика, службы) для переживания перезагрузки; конкретные значения и методы не подтверждены текущими источниками.
Техники и API
Для defender-ориентированного профиля наиболее релевантны классовые техники, ожидаемые от VNC-RAT и подтверждаемые поведенческой телеметрией:
- внедрение или запуск из нетипичных расположений; работа исполняемого файла без подписи из пользовательских каталогов (%APPDATA%, %TEMP%);
- сетевые соединения к «сырым» ip:port-адресам по нестандартным портам — типичный признак VNC/C2-канала, замаскированного под обычный трафик;
- вероятное использование стандартных API для персистентности и процессов: CreateProcess, модификация реестра через RegSetValueEx, планировщик задач schtasks, RegisterServiceProcess/службы;
- перехват ввода и снятие содержимого экрана (BitBlt/DC-функции) — ожидаемо для VNC-компонента, но требует подтверждения динамическим анализом.
Указанный список API и техник — классово-ориентированный; конкретные реализации в DarkVNC необходимо подтверждать статическим/динамическим разбором образцов.
IOC и индикаторы
В базе ThreatFox зафиксированы 3 актуальные IOC-записи, ассоциированные с DarkVNC. Тип всех индикаторов — ip:port, категория активности — botnet_cc (серверы управления ботнета). Записи свежие (актуальны на момент подготовки профиля), что отражает живую C2-инфраструктуру. Теги и метаданные образцов в текущем наборе данных отсутствуют. Конкретные значения индикаторов в публикации не приводятся — карточки индикаторов и образцов добавляются рендерером ниже в скрытом разделе.
Обнаружение
- Сетевая телеметрия: сигнатуры на соединения к ip:port из категории botnet_cc; системные процессы (explorer.exe, svchost.exe) или неподписанные бинарники, устанавливающие долгоживущие исходящие TCP-сессии на нестандартные порты с шаблонным поведением VNC (частые мелкие пакеты, двунаправленный трафик).
- Процессная телеметрия EDR: неподписанный исполняемый файл из %APPDATA%/%TEMP%, запускающий или имплантирующий VNC-функциональность; создание Run/RunOnce-ключей или задач планировщика этим же процессом.
- YARA/сигнатуры: ориентироваться на семейные признаки — строки VNC-протокола (RFB handshake) внутри нетипичных исполняемых файлов, комбинированные с C2-конфигурацией; побайтовые сигнатуры малоэффективны без разбора образцов.
- SIEM-корреляции: создание задачи планировщика + немедленный исходящий ip:port-трафик; запуск процесса с последующей регистрацией сервера на C2.
Защита и снижение риска
- Контроль запускаемых приложений (WDAC/AppLocker): блокировка исполнения из пользовательских каталогов и вложений.
- Запрет прямых исходящих соединений на произвольные ip:port из пользовательского сегмента; только разрешённые порты и прокси с инспекцией.
- Фильтрация фишинга и вложений на почтовом шлюзе; запрет макросов из интернета (политика Office).
- EDR с поведенческим детектированием на всех рабочих станциях, включённая телеметрия процессов и сети.
- MFA с защитой от перехвата сессий (не только SMS) — на случай использования VNC-доступа для работы с учётными данными жертвы.
- Сетевая сегментация рабочих станций от критичных сервисов, ограничение lateral movement.
Что делать при подозрении на заражение
- Изолировать хост от сети, сохранив телеметрию: при активном VNC-канале исходить из того, что оператор наблюдает экран и может реагировать на действия аналитика.
- Сохранить дампы процессов, журналы Windows, сетевые логи и артефакты EDR до внесения изменений.
- Найти точку первичного заражения: фишинговое письмо, загрузчик, установленный пользователем файл.
- Проверить закрепление: Run/RunOnce, задачи планировщика, службы, WMI-подписки; удалить подтверждённые артефакты.
- Оценить использование учётных данных и возможное горизонтальное перемещение: сброс паролей затронутых учётных записей, ревизия привилегированных сессий.
- Проверить развёртывание вторичной нагрузки (стилеры, дополнительные RAT) на хосте и смежных машинах.
- Если целостность системы не может быть подтверждена — переустановить ОС.
Ограничения текущего анализа
Достоверно установлено: принадлежность семейства к классу Windows-VNC-RAT/ботнетов (Malpedia), а также наличие 3 актуальных C2-индикаторов (ip:port, botnet_cc) в ThreatFox. Не подтверждено текущими источниками и требует статического/динамического анализа образцов: конкретные механизмы персистентности, используемые Windows API, протокол C2-канала и шифрование, приёмы инъекций и обхода защит, целевые браузеры/приложения, точные цепочки доставки и география кампаний. Модульная структура выше частично опирается на классовый контекст VNC-RAT; её следует верифицировать на конкретных образцах перед применением в сигнатурах. Значения IOC намеренно не публикуются в тексте.
Источники
История обновлений статьи
- 12.10.2026 — Опубликована первая версия материала.
