Фишинговая кампания распространяет XLoader через CVE-2017-11882

Фишинговая кампания распространяет XLoader через письма, замаскированные под запросы на подтверждение заказов на покупку. Получателей побуждают открыть вложенный документ DOCX. XLoader способен собирать системную и браузерную информацию, красть конфиденциальные данные и загружать дополнительное вредоносное ПО.

Документ использует функцию altChunk в Microsoft Word, чтобы загрузить и выполнить встроенный файл RTF. В нём находится объект OLE, эксплуатирующий CVE-2017-11882, известную уязвимость редактора формул Microsoft Equation Editor. В результате создаётся и запускается файл Visual Basic Script по пути %TMP%\724812.vbs.

VBS-сценарий содержит данные в кодировке Base64. Он записывает декодированное содержимое в файл %TMP%\Quisque.Dal и запускает встроенный сценарий PowerShell первого этапа. Тот сохраняет путь к исполняемому файлу PowerShell и содержимое сценария в значениях реестра TORO и Laboris, а для закрепления добавляет значение Cupidatat в ключ Run Windows. При входе пользователя в систему выполняется сохранённый сценарий PowerShell.

Затем сценарий первого этапа расшифровывает файл %TMP%\Quisque.Dal и запускает сценарий PowerShell второго этапа. Тот передаёт загрузчику зашифрованную полезную нагрузку в качестве аргумента. Загрузчик расшифровывает её с помощью XOR и выполняет непосредственно в памяти.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.