Активность с имитацией вымогательства может указывать на APT36
Исследователи зафиксировали многоэтапное вторжение с переупакованным инструментом активации Windows KMS Auto в качестве начального вектора доставки. Активность может указывать на APT36, также известную как Transparent Tribe, однако атрибуция не подтверждена.
Сам KMS Auto не является вредоносным, но версии из неофициальных или пиратских источников программного обеспечения могут содержать вредоносное ПО. Запуск инструмента из необычного каталога, особенно с подозрительными дочерними процессами, следует считать событием высокого уровня риска. После запуска KMS Auto злоумышленники развернули XMRig для майнинга криптовалюты, используя вычислительные ресурсы процессоров жертв при относительно низком уровне активности.
Затем злоумышленники установили ScreenConnect для интерактивного удалённого доступа с помощью легитимного инструмента удалённого мониторинга и управления. Клиент обнаружили по пути C:\ProgramData\HvHosts\ScreenConnect.WindowsClient.exe. В качестве дополнительного механизма удалённого доступа развернули MeshAgent, чтобы сохранить доступ на случай удаления или обнаружения канала ScreenConnect.
Финальную полезную нагрузку, SecurityHealthServices.exe, разместили в каталоге автозагрузки Windows по пути %ProgramData%\Microsoft\Windows\Start Menu\Programs\Startup. Она имитировала компонент Windows Defender. В метаданных файла упоминались «Transparent Tribe» и «APT36», была иконка флага Пакистана, а описание указывало на хост симуляции APT36.
Полезная нагрузка создала дополнительные механизмы закрепления через параметры Run и RunOnce, скопировала себя в каталог AppData с атрибутом сверхскрытого файла и разместила файлы в форматах batch, VBS и XML, а также исполняемые файлы в каталоге C:\Users\Public\Recovery. Она работала как scareware, а не как настоящее шифровальное ПО: заменила обои рабочего стола изображением флага Пакистана, показала оверлей с требованием выкупа и надписью «APT36 Transparent Tribe», а также добавила расширение .exe к именам исполняемых файлов, имитируя шифрование. Исследователи не обнаружили логику шифрования файлов, сумму выкупа, адрес кошелька, срок оплаты или канал для проведения платежа.
Метаданные могли быть подделаны, а шпионаж и кражу данных не наблюдали. Компоненты атаки выполнялись поэтапно, с интервалами от 12 до 24 часов. Авторы отчёта рекомендуют выявлять такую активность по корреляции несанкционированных инструментов активации, майнинга, неожиданного развёртывания инструментов удалённого мониторинга и управления, изменений механизмов закрепления и поведения scareware, используя журналы с длительными сроками хранения.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
