BlackNET распространяется через Dropbox и съёмные носители
BlackNET, троянская программа удалённого доступа для Windows, добавляет заражённые системы в ботнет. Её распространяли через каналы Telegram и Discord; доступны сборщик и скомпилированные образцы. Функции программы включают регистрацию нажатий клавиш, создание снимков экрана, удалённый доступ к рабочему столу, атаки типа «отказ в обслуживании», закрепление в системе, защиту от анализа и распространение через USB-накопители и Dropbox.
Защита от анализа и сбор данных
Для противодействия анализу BlackNET проверяет список инструментов для исследования вредоносного ПО и мониторинга. Программа перечисляет активные процессы с помощью GetProcessesByName, проверяет заголовки окон через Process.MainWindowTitle и завершает соответствующие процессы.
Также BlackNET выявляет виртуализированные и песочные среды. Для этого она проверяет через LoadLibrary, присутствуют ли библиотеки vmguestlib.dll от VMware, vboxmrxnp.dll от VirtualBox и sbiedll.dll от Sandboxie. При обнаружении такой среды вредоносное ПО использует cmd.exe, чтобы удалить себя и завершить работу. Мьютекс BN GRLdNjTe-8793677 предотвращает запуск нескольких экземпляров программы.
Функция регистрации нажатий клавиш заимствована из LimeLogger. Процедура HookCallback перехватывает нажатия с помощью GetKeyState, а функции MapVirtualKey и ToUnicodeEx преобразуют виртуальные клавиши в символы с учётом активной раскладки клавиатуры. Перехваченные нажатия, а также данные, отправляемые на сервер управления и получаемые с него, записываются в файл во временном каталоге.
BlackNET делает снимки экрана и отправляет их на настроенный узел управления hxxp://redbulllogistics[.]online/blackie.
Распространение через облачное хранилище и USB-накопители
Для распространения через Dropbox программа создаёт в профиле пользователя каталог dropbox, копирует туда вредоносное ПО и переименовывает его в Adobe Photoshop CS.exe.
При распространении через USB-накопители BlackNET обнаруживает смонтированные диски, проверяет свободное пространство и тип диска, а затем копирует себя на съёмный носитель под именем Windows_update.exe и помечает файл как скрытый. С помощью wscript.shell программа создаёт вредоносный ярлык .lnk. При обращении к съёмному диску ярлык запускает вредоносное ПО через cmd.exe, что приводит к заражению дополнительных систем.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
