Azalea RAT распространяют через вредоносный ярлык LNK
Azalea RAT распространяется как модульное вредоносное ПО как услуга для Windows через ярлык LNK с именем пропозиція.pdf.lnk. Ярлык запускает cmd.exe и встроенную утилиту curl, которые загружают и запускают полезную нагрузку с удалённого HTTP-сервера. Финальный вариант, Azalea Agent, представляет собой .NET-RAT с поддержкой команд, сбора данных и закрепления в системе.
Загрузка и выполнение полезной нагрузки
Загрузчик первого этапа создаёт и открывает файл-приманку в формате PDF, а затем расшифровывает встроенную полезную нагрузку в памяти. Для задержки или нарушения анализа в песочнице он создаёт нагрузку на выделение памяти, проверяет временные интервалы сна с помощью функций GetTickCount и QueryPerformanceCounter, а также выполняет циклы с высокой нагрузкой на ЦП. Расшифрованный PE-файл запускается непосредственно в памяти.
Второстепенная DLL изменяет исключения Microsoft Defender с помощью WMI и сохраняет зашифрованную полезную нагрузку в значении реестра с именем GUID либо извлекает её оттуда. Значение находится в разделе HKCU\Software\Microsoft\Windows\CurrentVersion\DefaultAppPool. При необходимости полезная нагрузка загружается по HTTPS с использованием WinHTTP. Затем из неё удаляется случайная заполняющая последовательность, а сама она расшифровывается с помощью XOR и загружается через CLR как сборка .NET без записи на диск.
Среди альтернативных способов выполнения указана инъекция PE-файла в процесс RuntimeBroker.exe с использованием функций VirtualAllocEx, WriteProcessMemory и CreateRemoteThread. Также применяются техники обхода UAC на основе RPC и COM с участием ComputerDefaults.exe.
Возможности агента и сбор данных
В конфигурации Azalea Agent, закодированной в Base64, хранятся параметры C2, закрепления, противодействия анализу и настройки плагинов. Агент использует зашифрованные строки и встроенную обфусцированную библиотеку MsgPack. Он поддерживает обмен данными по TLS поверх TCP, регистрацию жертв, маршрутизацию задач, сжатие данных и формирование стабильных идентификаторов на основе информации об узле.
Средства противодействия анализу включают обнаружение отладчика, проверку на наличие песочниц и виртуальных машин, анализ реестра и процессов, обнаружение известных модулей анализа, а также логику завершения работы, связанную со сном. Необязательный механизм обхода патчит AmsiScanBuffer, чтобы предотвратить инспекцию со стороны AMSI.
Azalea может установить файл update.exe во временный или настроенный каталог и закрепиться в системе через ключи Run в реестре, раздел Run в политиках Explorer или запланированную задачу. Фреймворк команд агента поддерживает регистрацию нажатий клавиш, мониторинг буфера обмена, манипуляции с процессами и реестром, потоковую передачу содержимого экрана, операции с файлами, выполнение полезной нагрузки, внедрение DLL, внедрение в пустой процесс, имперсонацию токена, обнаружение и модификацию Active Directory, фильтрацию журнала событий и обход UAC.
Встроенный плагин-стиллер нацелен на браузеры и приложения на базе Chromium, в том числе Discord, Телеграм, Steam, FileZilla, Thunderbird и Foxmail. Он собирает учётные данные, файлы cookie, платёжные данные, историю, закладки, данные автозаполнения и системную информацию.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
