В описанной кампании злоумышленники применяют баннеры FTP-серверов как dead-drop resolver для доставки команд и вредоносного программного обеспечения. В цепочках атак также используются подписанное Electron-приложение, RAT PINHOLE и встроенные средства Windows, что сокращает количество кастомных компонентов и осложняет обнаружение по хешам и сигнатурам. Вероятно, атакуемые пользователи получают ZIP-архив с вредоносным ярлыком Windows в формате .LNK. После запуска ярлык подключается к FTP-серверу, контролируемому злоумышленниками, по TCP/21 и получает баннер приветствия 220, который сервер отправляет до аутентификации...