Специалисты по кибербезопасности выявили новую вредоносную кампанию, использующую стандартное приложение Windows «Связь с телефоном» (Phone Link) для кражи конфиденциальных данных. С помощью связки из ранее неизвестного трояна CloudZ и специализированного плагина Pheno злоумышленники получают доступ к одноразовым паролям (OTP) и SMS-сообщениям пользователей прямо с их компьютеров.
Согласно отчету экспертов Cisco Talos, активность была зафиксирована в январе 2026 года. Особенность атаки заключается в том, что хакерам не требуется заражать само мобильное устройство. Вместо этого они эксплуатируют доверительную связь между смартфоном и ПК, перехватывая данные, которые синхронизируются через официальное приложение Microsoft.
Механизм работы и перехват данных
Приложение «Связь с телефоном» позволяет пользователям просматривать уведомления и сообщения со смартфона на рабочем столе Windows. Вредоносный плагин Pheno нацелен на поиск локальной базы данных SQLite, в которой хранятся эти сведения. По данным исследователей, троян CloudZ использует этот плагин для мониторинга активных процессов и извлечения чувствительной информации из синхронизированных чатов.
В обзоре отмечается, что такая техника позволяет обходить многофакторную аутентификацию (MFA), так как коды подтверждения из SMS перехватываются в момент их появления на экране компьютера. Это переносит вектор угрозы с защищенных мобильных платформ на корпоративные системы под управлением Windows.
Многоэтапная схема заражения
Процесс компрометации системы начинается с загрузки вредоносного файла, который маскируется под обновление программного обеспечения ScreenConnect. Инфекционная цепочка включает несколько стадий:
- Запуск загрузчика, написанного на языке Rust, под именами вроде systemupdates.exe.
- Развертывание .NET-загрузчика, скрытого под видом обычного текстового файла в системной директории.
- Создание запланированной задачи SystemWindowsApis для обеспечения автозагрузки с повышенными привилегиями через легитимную утилиту regasm.exe.
Перед активацией основной полезной нагрузки вредоносное ПО проводит тщательную проверку среды. Оно анализирует время выполнения команд, чтобы определить, не запущено ли оно в «песочнице» для анализа, а также ищет следы инструментов мониторинга трафика и системных процессов.
Функции трояна и плагина Pheno
После успешного обхода защитных механизмов CloudZ устанавливает зашифрованное соединение с командным сервером. В отчете указывается, что троян обладает широким набором функций, включая сбор учетных данных, удаленное выполнение команд и управление файлами. Для маскировки трафика под обычную активность браузера программа регулярно меняет идентификаторы User-Agent.
Плагин Pheno выполняет специфическую роль по отслеживанию синхронизации устройств. Он сканирует запущенные процессы на наличие следующих ключевых слов:
- YourPhone
- PhoneExperienceHost
- Link to Windows
Если плагин обнаруживает активную сессию «Связи с телефоном», система помечается как приоритетная для мониторинга SMS-запросов и кодов подтверждения. На данный момент эксперты не связывают эту кампанию с какой-либо конкретной хакерской группировкой, однако уже опубликованы индикаторы компрометации для защиты корпоративных сетей.
