Фишинговая кампания имитирует суд Южного округа Флориды и распространяет LodaRAT
Кампания имитирует деятельность Федерального окружного суда США по Южному округу Флориды и рассылает персонализированные фишинговые письма более чем 100 000 компаниям. В сообщениях используют вымышленные идентификаторы дел об альтернативном урегулировании споров и ссылки на поддельный портал на домене florida.courtadr.com. Через этот портал распространяют вариант LodaRAT.
Фишинговая цепочка и установка LodaRAT
На поддельном портале предлагают скачать защищённый паролем ZIP-архив. Паролем служит идентификатор ADR из письма. Внутри архива находится образ ISO с тремя замаскированными файлами доставки: файлом MMC, пакетным файлом и ярлыком. Каждый из этих векторов в итоге устанавливает один и тот же вариант LodaRAT, но под разными именами: Taskmgr.exe, SystemSettings.exe или msedge.exe.
Сборки LodaRAT созданы на основе AutoIt и загружаются с домена, в котором используется опечатка в названии, us.wind0ws.net. Фишинговый сайт доступен только браузерам с пользовательским агентом Microsoft Edge.
Вредоносная программа копирует себя в каталог %APPDATA%\Windata. Для закрепления она использует ярлык в папке «Автозагрузка», параметр реестра Run и запланированную задачу. В её работе также задействован механизм мониторинга, или сторожевой процесс.
Возможности и инфраструктура вредоносной программы
LodaRAT собирает сведения о системе и может отключать Windows Defender с помощью параметров групповой политики в реестре. Вредоносная программа поддерживает удалённый доступ и кражу данных. Она может похищать:
- учётные данные и файлы cookie браузеров;
- файлы профилей Firefox;
- сведения о серверах FileZilla;
- ключи Wi-Fi;
- данные, предоставленные DPAPI.
Среди других возможностей LodaRAT есть регистрация нажатий клавиш, захват экрана и изображения с веб-камеры, запись звука с микрофона, операции с оболочкой и файлами, доступ к буферу обмена и удалённое управление. Вредоносная программа также может включать RDP, создавать учётную запись администратора, устанавливать туннель ngrok, предоставлять прокси-сервер SOCKS и распространяться по сетевым общим папкам или USB-накопителям.
Сборки используют общий открытый канал управления по TCP, направленный на my.thispc.net:4000. В них совпадают набор команд, поведение при выполнении и механизмы закрепления. Домен support.courtadr.com хостит платформу для массовой рассылки электронной почты, которая, возможно, использовалась для отправки сообщений. C2-сервер RAT разрешается в IP-адрес 207.148.77.235. Инфраструктура фишинга и полезной нагрузки размещена отдельно.
Три сборки используют разные теги кампании, но имеют достаточно общего в коде и поведении, чтобы предположить наличие общего разработчика или оператора.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
