BeepRAT распространяют через китайскую утилиту для работы с номерами
BeepRAT, модифицированный вариант фреймворка DcRAT с открытым исходным кодом, распространялся в архиве HFY 号码魔方.zip вместе с китайской утилитой для управления номерами телефонов абонентов телекоммуникационных операторов. В архиве находились HFY.exe, вспомогательные библиотеки и data.dll, на деле оказавшийся базой SQLite с более чем 517 000 записей о мобильных номерах в Китае. Целью атаки могли стать организации телекоммуникационного сектора или пользователи отраслевых инструментов.
При запуске вредоносное ПО создаёт каталог %LOCALAPPDATA%\TCC и помещает в него файлы tcc.exe, temp.bin и config.ini.c. Tiny C Compiler запускает написанный на C загрузчик из config.ini.c. Тот разрешает API во время выполнения, обходя PEB и применяя хеширование ROR13, а затем загружает шеллкод из temp.bin непосредственно в память. Шеллкод содержит встроенный PE-файл и выполняет отражательную загрузку, предварительно пытаясь обойти AMSI, ETW и Windows Lockdown Policy. В более ранних версиях фреймворка для аналогичной цепочки выполнения шеллкода использовался LuaJIT.
BeepRAT проводит проверки на основе WMI, чтобы собрать сведения об операционной системе и памяти. Затем он формирует аппаратный идентификатор на основе MD5 и атрибутов хоста: количества процессоров, имени пользователя и компьютера, версии ОС и размера системного диска. Если прав администратора нет, вредонос использует встроенные компоненты для соответствующей архитектуры, обходит UAC и перезапускает загрузчик TCC с повышенными правами.
Закрепление и связь с управляющей инфраструктурой
Для закрепления BeepRAT создаёт запланированную задачу WindowsUpdateTempFileCleanUp, которая выполняется с наивысшими привилегиями. Вредонос поддерживает загрузку плагинов .NET, может регистрировать нажатия клавиш в автономном режиме, а также обновлять адрес C2 через реестр, используя ключ HKCU\Software\Creeper.
Адреса инфраструктуры C2 вредонос определяет через DNS по HTTPS с использованием doh.pub и при необходимости переключается на резолвер Windows. В проанализированном образце для подключения к spasss.org, который разрешается в 207.56.8.166, использовался TCP-порт 18848. К связанным с ним дополнительным доменам относятся liebian.org и svip88.org.
Данные жертвы и трафик команд сериализуются с помощью MessagePack, а затем шифруются алгоритмом Rijndael/AES в режиме ECB с выравниванием PKCS#7. Для шифрования используется встроенный ключ Qi_An_Xin_Niu_Bi. В регистрационные данные входят идентификатор хоста, имя пользователя, сведения об операционной системе, статус привилегий, информация об антивирусе, активное окно, время установки, версия CLR и список загруженных плагинов. Пакеты проверки связи отправляются примерно каждые 10–15 секунд.
Оценка китайских связей
Инфраструктура и инструменты на китайском языке указывают на вероятную экосистему с китайскими связями. Исследователи оценивают эту связь со средней степенью уверенности.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
