Домены серверов управления IcedID регистрировали незадолго до кампаний
IcedID (BokBot), изначально банковский троян, эволюционировал в загрузчик дополнительных полезных нагрузок. Среди них были Cobalt Strike и, в некоторых случаях заражения, шифровальщик Quantum. В сентябре 2022 года IcedID распространялся в рамках спам-кампаний; крупнейшая из зафиксированных привела примерно к 115 потенциальным жертвам.
Способы распространения и число потенциальных жертв
Для доставки IcedID использовали несколько типов приманок и заражений:
- вредоносные документы Office;
- защищённые паролем ZIP-архивы с файлами ISO и LNK;
- файлы CHM;
- заражения PrivateLoader, скрывавшие вредоносное ПО в пиратском или взломанном программном обеспечении.
Крупнейшая кампания была направлена на англоязычных пользователей и распространяла защищённый паролем ZIP-архив с файлами ISO и LNK. В результате появилось около 115 потенциальных жертв. Кампания с PrivateLoader привела примерно к 79 потенциальным жертвам. В других кампаниях их число составляло от пяти до 29, а приманки в форматах Word, Excel и CHM обычно обеспечивали меньший охват.
Большая часть трафика от жертв приходилась на день запуска кампании или следующий день, затем его объём снижался. Кампания с очевидной языковой ошибкой в приманке XLSM оказалась менее эффективной. По оценке исследователей, реалистичность приманки может влиять на готовность жертв взаимодействовать с ней.
Инфраструктура управления и сроки её использования
Для первоначальной загрузки IcedID, после открытия приманки или запуска ярлыка, кампании преимущественно задействовали инфраструктуру управления первого этапа и первого уровня (Tier 1). Последующие коммуникации проходили через инфраструктуру второго уровня (Tier 2).
До 22 сентября 2022 года домены управления первого этапа, как правило, регистрировали через инфраструктуру, связанную с Njalla, примерно за 31 день до начала использования. Это потенциально помогало обходить блокировки недавно зарегистрированных доменов. Позднее схема изменилась: домены стали регистрировать всего за один-два дня до начала кампаний.
В день запуска кампании или непосредственно перед ним доменам управления обычно назначали новый IP-адрес. Они принимали трафик жертв по HTTP через порт 80 и, как правило, взаимодействовали с инфраструктурой второго уровня около шести дней.
Повторное использование и сбои инфраструктуры
Большинство доменных имён и IP-адресов использовали только в одной кампании и не применяли повторно. При этом несколько кампаний в середине и конце сентября задействовали инфраструктуру повторно. В одном случае использовалась та же комбинация домена и IP-адреса, в другом один IP-адрес был общим для двух недавно зарегистрированных доменов.
В одной кампании исследователи зафиксировали трафик от жертв, но не обнаружили работоспособного взаимодействия на втором уровне. Это указывает на сбой при настройке инфраструктуры. Другая кампания работала лишь несколько часов, после чего её отключили.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
