FLEXRAT распространяют через поддельные сайты модов ChilloutVR
FLEXRAT, коммерческий стиллер и набор инструментов удалённого доступа, распространяется через поддельные сайты с модами и плагинами для ChilloutVR. Кампания использует поисковую оптимизацию (SEO), чтобы привлекать пользователей, ищущих игровые модификации, а вредоносные файлы размещает на Dropbox и распространяет по прямым ссылкам. Домены и страницы-приманки оформлены в игровой тематике и имитируют легитимные ресурсы ChilloutVR.
Доставка и сбор данных
Вредоносное ПО доставляется через установщик NSIS, в который включены приложение на базе Electron и зашифрованный обфусцированный пакет JavaScript. В пакете 33 модуля. Он использует шифрование AES-256-GCM, сжатый JavaScript, пользовательскую загрузку модулей, переименованные идентификаторы и строки, обфусцированные с помощью XOR. Среди компонентов FLEXRAT есть бинарные файлы на Nim, Go, управляемом .NET и Electron.
Команды вредоносное ПО выполняет через скрытые дочерние процессы, обычно с помощью cmd.exe, PowerShell, Python и утилит Windows. Перед обращением к базам данных браузеров и файлам Local State FLEXRAT завершает работу Chrome, Brave, Edge, Opera, Vivaldi, Yandex и других браузеров.
Для извлечения паролей, файлов cookie и сессий FLEXRAT использует DPAPI, Firefox NSS, обработку ключа, привязанного к приложению, имперсонацию токена и механизмы резервного копирования через Chrome DevTools Protocol. Вредоносное ПО также ищет токены в хранилищах Discord LevelDB, данных браузеров и памяти процессов. Оно собирает сведения об учётных записях Discord, статус MFA, информацию о биллинге и резервные коды.
Возможности и закрепление
FLEXRAT собирает сведения о Windows, аппаратном обеспечении, сети, времени работы, антивирусе и идентификаторах машины. Набор инструментов позволяет делать скриншоты, транслировать содержимое дисплеев, управлять мышью и клавиатурой, передавать и выполнять файлы, просматривать каталоги и выполнять команды оболочки. Кроме того, он может блокировать рабочие станции и использовать синтез речи.
Для управления и эксфильтрации используются домены flexrat.org, flexrat.com, l874.xyz и l874.lol. Результаты также передаются через инфраструктуру Discord.
Для закрепления FLEXRAT запрашивает повышение привилегий через скрытый PowerShell и может ослаблять настройки UAC. При наличии повышенных привилегий вредоносное ПО копирует себя в каталог %ProgramData% под именем WindowsServiceHost.exe, маскируется и устанавливает атрибуты «скрытый» и «системный». Оно также создаёт записи Run в реестре HKCU и HKLM и регистрирует запланированную задачу ONLOGON с наивысшими привилегиями.
Механизмы противодействия анализу обнаруживают отладчики, виртуальные машины, системы с ограниченными ресурсами и распространённые средства защиты. Активность не приписывают конкретному актору. Артефакты кода на турецком языке указывают на разработчика, говорящего на турецком языке.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
