Злоумышленники атакуют отели и других поставщиков услуг размещения письмами, замаскированными под жалобы гостей, негативные отзывы, запросы и юридические угрозы. В архиве жертву побуждают открыть вредоносный ярлык LNK, замаскированный под файл с расширением .JPG. При его запуске загружается и выполняется легитимный рантайм Node.js, который устанавливает EtherRAT либо TONResolver. EtherRAT и TONResolver используют механизм получения адреса управления через блокчейн, известный как dead drop. EtherRAT не содержит фиксированный домен или IP-адрес: вместо этого он обращается к конечной точке Ethereum JSON-RPC и считывает данные из указанного слота хранения смарт-контракта или события...