Deimos используют для доступа и закрепления в Windows
Deimos развивается как имплант удалённого доступа для Windows и связан с активностью, ранее ассоциировавшейся с Jupyter Infostealer, SolarMarker и Yellow Cockatoo. Анализ 65 образцов выявил несколько кампаний; лишь незначительная часть образцов сохранила функции кражи информации. В изученном образце на первый план выходили первоначальный доступ, закрепление и управление, а операторы могли выполнять действия с привилегиями жертвы.
Цепочка заражения и выполнение полезной нагрузки
Для заражения применяются приманки и установщики, распространяемые с помощью отравления поисковой оптимизации (SEO) и Google Sneaky Redirects. Установщики могут получать имена, соответствующие поисковому запросу пользователя, и использовать значки документов для маскировки исполняемых файлов.
Дроппер создаёт шесть вложенных каталогов с именами из 32 символов, состоящими из строчных букв и цифр, и помещает закодированный файл в самый глубокий каталог. Затем этот файл загружается, расшифровывается с помощью 52-байтного ключа XOR и выполняется как PowerShell. Для затруднения анализа ВПО использует имена переменных, генерируемые во время выполнения, случайные пути, кодирование Base64, шифрование XOR и удаляет временные закодированные файлы.
Итоговая полезная нагрузка представляет собой DLL на .NET, внутренне идентифицированную как Mars.Deimos и защищённую с помощью Dotfuscator CE 6.3.0. Имплант способен получать и выполнять файлы Windows PE, сценарии PowerShell и сборки .NET, а также выполнять произвольные команды PowerShell.
Закрепление в системе и связь с сервером управления
Закрепление происходит в профиле пользователя. Имплант создаёт в %APPDATA% каталог со случайным именем. В нём находятся от 100 до 200 файлов-приманок со случайными данными и обфусцированная DLL на .NET. Затем Deimos создаёт ключи обработчиков оболочки для каждого пользователя в разделе реестра HKCU\Software\Classes и помещает файл .LNK в каталог «Автозагрузка» пользователя. При входе в систему ярлык запускает команду PowerShell, заданную в реестре. Команда деобфусцирует DLL и выполняет её через Mars.Deimos.interact().
Deimos взаимодействует с сервером управления и контроля посредством HTTP-запросов POST. Тайм-аут соединения составляет 10 минут. Публичный ключ RSA для начального рукопожатия уникален для каждой кампании. В наблюдаемой инфраструктуре управления присутствовал IP-адрес 216.230.232.134, связанный с кампанией в августе 2021 года. Основной цикл импланта получает файлы для конкретной задачи либо напрямую выполняет команды PowerShell, возвращаемые сервером.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
