Фишинговая кампания против организаций Колумбии доставляла XWorm
Фишинговая кампания под судебную тематику была направлена против колумбийских организаций. В испаноязычных письмах получателей побуждали отреагировать на административные или юридические вопросы. Вложения VBS и JavaScript имитировали легитимную переписку, а скрипты скрывали PowerShell с помощью многоуровневой обфускации, закодированных строк, пользовательских процедур декодирования и криптографических алгоритмов. Распаковщик на PowerShell извлекал DLL-файл .NET и исполняемый файл VB.NET, затем загружал DLL RSG_UnityApp v1.1.0.0 через рефлексию и передавал ей путь к утилите Windows и полезную нагрузку XWorm.
Обфускация и повторное использование загрузчика
Восстановленные этапы атаки включали несколько способов преобразования и шифрования данных:
- пользовательское декодирование Base93 и Base52;
- подстановочные шифры с ключом и манипуляции с битами;
- комбинации AES, SM4, Square и нестандартных блочных преобразований.
DLL защищена с помощью Crypto Obfuscator. Её хеш совпадает с хешем загрузчика, о котором сообщалось в деле, связанном с XWorm в Великобритании в сентябре 2026 года. При этом различались начальный скрипт, настроенный целевой процесс, образец XWorm и параметры управления (C2). Тот же загрузчик наблюдали и при доставке DCRat. По оценке исследователей, его могли повторно использовать с разными видами вредоносного ПО.
Конфигурация и сетевой обмен XWorm
Конфигурацию XWorm восстанавливали, выводя ключ из MD5-хэша строки мьютекса и расшифровывая данные, декодированные из Base64, с помощью AES-256-ECB. Исследователи выявили три конечные точки C2. Эти же точки встречаются в публичных записях песочниц XWorm с разными значениями мьютексов и групп, что указывает на повторное использование инфраструктуры в отдельно настроенных сборках.
Сообщения C2 шифруются с помощью AES-128-ECB. Перед зашифрованным сообщением передаётся его длина в десятичном ASCII-представлении, после которой следует байт NUL. Начальные данные маяка содержат сведения об узле, пользователе, системе, продуктах защиты и аппаратном обеспечении. Среди поддерживаемых команд есть удалённая оболочка, операции с файлами и плагинами, обновления, функции отказа в обслуживании и манипуляции с файлами узла.
Поиск угроз рекомендуется сосредоточить на запуске скрытых или закодированных команд PowerShell через Windows Script Host, подозрительном выполнении RegAsm.exe после PowerShell и признаках внедрения кода в процессы. К таким признакам относятся создание процессов в приостановленном состоянии, запись в удалённую память и изменение контекста потоков. Мониторинг сети может выявлять исходящие соединения TCP/4521 и обращения к домену, особенно если они связаны с подозрительными цепочками процессов.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
