DonutLoader использует обфускацию и внедрение шеллкода в процессы

Цепочка DonutLoader сочетает противодействие анализу, закрепление в системе и внедрение кода в доверенный процесс. После внедрения имплант пытается установить исходящее TCP-соединение с 167.88.167.9:8356, вероятно, для канала управления. Инфраструктура была недоступна во время анализа, поэтому полный набор возможностей импланта после компрометации определить не удалось.

Заражение начинается с сильно обфусцированного пакетного скрипта Windows. Для сокрытия логики он использует подстановку переменных, случайные метки, служебные команды и манипуляции с потоком управления. Скрипт также проверяет имена пользователей, известные артефакты файловой системы и доступную системную память, чтобы выявить виртуальные машины, песочницы или среды аналитиков.

Если выполнение продолжается, скрипт создаёт скрытый каталог промежуточного размещения C:\ProgramData\IntelDriver, восстанавливает встроенную полезную нагрузку и запускает последующие этапы с помощью переименованной копии powershell.exe, HDVz.exe. ВПО закрепляется в системе с помощью запланированной задачи, которая запускает VBS-загрузчик при входе пользователя.

Полезные нагрузки маскируются под изображения с помощью расширений файлов. Зашифрованный контент PowerShell и шеллкод, сгенерированный утилитой Donut, восстанавливаются и выполняются в оперативной памяти. Загрузчик PowerShell преимущественно внедряет шеллкод в процесс explorer.exe, а если этот процесс недоступен, использует другие. Финальный .NET-имплант работает внутри доверенного процесса, что помогает скрывать его активность.

Перед внедрением загрузчик проверяет целевые процессы на наличие пользовательского маркера памяти DE AD BE CA FE BA EF, размещённого непосредственно перед внедряемым шеллкодом. Так он выявляет ранее заражённые процессы, предотвращает повторное развёртывание и снижает потенциальную нестабильность. Этот маркер также может использоваться для поиска угроз при анализе памяти.

Компоненты ВПО на базе .NET сильно обфусцированы. ВПО вмешивается в работу AMSI и ETW или обходит эти механизмы, чтобы снизить видимость для средств защиты. Уведомления о выполнении отправляются через Telegram Bot API с помощью curl.exe; токен бота и идентификатор чата заданы в коде.

К релевантным возможностям обнаружения относятся:

• переименованные исполняемые файлы PowerShell;
• скрытые каталоги в ProgramData;
• подозрительные запланированные задачи и выполнение VBS;
• внедрение кода в доверенные процессы;
• приватная исполняемая память;
• модификации AMSI или ETW;
• активность в Telegram API;
• аномальные сетевые соединения от explorer.exe.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.