Атака с SnakeKeylogger начинается с фишинговых писем о коммерческих предложениях

Фишинговые письма маскируют под запросы коммерческих предложений и предлагают скачать архив. Вредоносное ПО SnakeKeylogger собирает данные из браузера, сведения о системе и нажатия клавиш, а затем отправляет их через SMTP или Telegram.

В архиве находится файл JavaScript. При извлечении он расшифровывает и запускает обфусцированный сценарий PowerShell. Первый сценарий PowerShell расшифровывает встроенную полезную нагрузку с помощью AES-256-CBC и выполняет её в памяти. Это второй сценарий PowerShell: он применяет XOR для расшифровки другой встроенной полезной нагрузки и также выполняет её в памяти.

Затем сценарий передаёт загрузчику путь к aspnet_compiler.exe и конечную полезную нагрузку. Загрузчик запускает aspnet_compiler.exe и внедряет в его процесс конечную полезную нагрузку с помощью техники внедрения в пустой процесс. В отчёте также упоминается информация о сервере управления.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.