DarkVision распространяется как услуга и крадёт учётные данные браузеров
DarkVision, троян на C++/ASM, предлагают по модели вредоносного ПО как услуги с конца 2019 или начала 2020 года. Различные операторы применяли его в кампаниях с разными способами доставки.
Распространение и установка
DarkVision использовали в фишинговых кампаниях, кампаниях с вредоносной рекламой и поддельным программным обеспечением, а также в кампаниях с кряками, обманными рекламными объявлениями и архивами, содержащими вредоносные документы, скрипты, загрузчики или исполняемые файлы. Для первоначального доступа обычно используют файлы VBS, JavaScript, BAT, HTA или LNK, нередко вместе с PowerShell, обфускацией, декодированием XOR/Base64 и загрузкой с промежуточных сайтов, например GitHub. DarkVision также распространялась через SmokeLoader, PureCrypter, Donut, GraftLoader, Amadey, Vidar, StealC, Raccoon, пакеты Inno Setup и приманки в виде утилит для очистки системы.
Вредоносная программа использует поэтапные загрузчики на C++ или .NET. Образцы могут быть упакованы или обфусцированы, а также загружать из памяти DLL и исполняемые полезные нагрузки. Несколько вариантов на .NET скрывают модули в ресурсах растровых изображений с помощью пиксельной стеганографии и многократно извлекают встроенные библиотеки, пока не станет доступна конечная полезная нагрузка.
При установке исполняемый файл обычно копируется под случайным именем в каталог %AppData%\Roaming, после чего ему назначаются атрибуты «Скрытый» и «Только для чтения». Также могут использоваться скрипты, созданные с помощью PowerShell. Закрепление возможно через ключи Run в реестре, запланированные задачи и BAT-файлы в папках автозагрузки. Конструктор DarkVision позволяет настраивать пути и имена файлов, мьютексы, цели внедрения и методы закрепления.
Закрепление и возможности вредоносной программы
Некоторые образцы обеспечивают защиту файлов и разрешений, добавляют исключения для Windows Defender и проверяют наличие настраиваемого маркерного файла, при отсутствии которого могут прекратить работу. DarkVision использует несколько идентификаторов, похожих на мьютексы. Они формируются из настроенных значений или системной информации и служат для предотвращения повторного запуска и отслеживания состояния установки.
Если привилегии администратора недоступны, вредоносная программа может повышать привилегии через COM-интерфейсы с обходом UAC. При этом шеллкод внедряется в процесс explorer.exe. Также DarkVision применяет внедрение в пустой процесс и API для отображения секций, чтобы выполнять код в таких процессах, как explorer.exe, и скрывать исходный процесс. Функции противодействия анализу перечисляют запущенные процессы и сопоставляют их с внутренним списком инструментов анализа.
Ядро DarkVision взаимодействует с оператором по проприетарному протоколу TCP, потенциально используя SOCKS5 и сеансовый ключ AES-128, согласованный во время рукопожатия. Вредоносная программа собирает сведения об узле, включая версию операционной системы, локальный IP-адрес, идентификатор процесса и статус администратора. Модульная система плагинов позволяет загружать DLL из каталога ProgramData или скачивать их с C2. Плагины поддерживают удалённое выполнение команд, повторное закрепление, обратные шеллы и дополнительные функции.
Специализированный плагин для кражи данных внедряется в браузеры и считывает базы данных учётных данных, в том числе в Chrome, Brave, Edge, Opera и других браузерах на базе Chromium. Он обращается к файлам Login Data и может извлекать данные из памяти браузера. Украденные сведения передаются отдельно от TCP-канала C2 через WinHTTP, обычно по HTTPS. Благодаря этому кража учётных данных может продолжаться, даже если настроенный порт C2 заблокирован.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
