AsyncRAT: цепочка заражения через AutoIT и внедрение в charmap.exe

В отчете описана многоэтапная цепочка заражения AsyncRAT, которую запускает метод социальной инженерии. Атакующие используют командный файл с именем «Right-click to open Invoice Details.bat». В ходе атаки вредоносный код восстанавливается из фрагментов, расшифровывается в памяти и внедряется в легитимный процесс Windows.

Запуск через командный файл

Командный файл запускает PowerShell со скрытым окном и отключенным профилем. Затем он создает обфусцированный каталог в папке временных файлов пользователя и восстанавливает полезную нагрузку из десяти фрагментов в кодировке Base64.

После удаления добавленных мусорных символов данные декодируются с помощью XOR с повторяющимся ключом. На диск записываются три компонента:

• переименованный легитимный интерпретатор AutoIT;
• скрипт-загрузчик AutoIT с именем kojuyn.ini;
• зашифрованная полезная нагрузка без расширения.

Закрепление через папку автозагрузки

Закрепление в системе обеспечивается через папку автозагрузки Windows, а не через ключ реестра. Размещенный в ней командный файл повторно запускает интерпретатор AutoIT и его скрипт при входе пользователя в систему.

Подписанный бинарный файл AutoIT со случайным именем используется как доверенный узел выполнения. Внешний файл .ini содержит вредоносную логику загрузчика, несмотря на отсутствие исполняемого расширения.

Расшифровка и восстановление данных

Скрипт AutoIT считывает зашифрованную полезную нагрузку из соседнего файла и расшифровывает ее в памяти с помощью однобайтового XOR-ключа 0x36. Данные обрабатываются в обратном порядке.

Имена API, строки типов и имена файлов восстанавливаются во время выполнения из массивов целых чисел, закодированных с помощью XOR. Дополнительные строки декодируются из шестнадцатеричных представлений с использованием ключа 0x8F.

Внедрение в процесс Windows

Загрузчик запускает подписанный Microsoft процесс charmap.exe из каталога Windows SysWOW64. Расшифрованная полезная нагрузка внедряется в него с помощью API OpenProcess, VirtualAllocEx, WriteProcessMemory и CreateRemoteThread.

После завершения процесса AutoIT внедренный код продолжает выполняться внутри charmap.exe. Инструмент PE-Sieve обнаружил внедренный PE-файл .NET, для которого не существует соответствующего файла на диске.

В ходе анализа также были зафиксированы загрузка CLR и обход AMSI внутри процесса. Для обхода использовалось исправление AmsiScanBuffer.

Функции AsyncRAT и C2-инфраструктура

Финальная полезная нагрузка Veukuzmw.dll представляет собой обфусцированную сборку AsyncRAT, загруженную в память. RAT поддерживает захват экрана. Он копирует изображение с основного дисплея в растровое изображение, изменяет его размер, кодирует изображение и подготавливает полученные байты к передаче.

Кроме того, RAT обеспечивает сбор информации о системе, выполнение команд и функции управления. Идентифицированной конечной точкой C2 был адрес 158.51.122.136:4944, использующий пользовательский протокол на основе TCP.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.