HypeAgent сочетает скрытый удалённый доступ и перехват данных
HypeAgent распространяют преимущественно через вредоносные вложения в электронных письмах, замаскированные под деловые документы, в том числе запросы на оплату, коммерческие предложения и заказы на поставку. Первоначальные файлы JavaScript запускают PowerShell и используют промежуточные загрузчики для расшифровки и доставки следующих этапов. Основная часть выполнения происходит в оперативной памяти, а сборки .NET загружаются без сохранения на диске в виде обычных исполняемых файлов. В одной из зафиксированных цепочек зашифрованная полезная нагрузка находилась в блоке iTXt с полем Description внутри корректного файла PNG и запускалась в процессе svchost.exe.
Управление заражённой системой
HypeAgent содержит приблизительно 195 команд верхнего уровня и даёт широкий контроль над заражёнными системами Windows. Возможности ВПО охватывают:
- операции с файлами, процессами, службами, реестром, командной строкой, буфером обмена, веб-камерой и звуком;
- внедрение DLL, закрепление при запуске и создание запланированных задач;
- управление лотками CD/DVD, воспроизведение медиа и синтез речи;
- изменение обоев рабочего стола и заголовков окон.
ВПО также позволяет удалённо управлять рабочим столом: передавать изображение экрана и вводить команды с помощью мыши и клавиатуры. Среди его функций есть скрытый рабочий стол и удалённый доступ. HVNC позволяет запускать браузеры на невидимом рабочем столе и пытаться копировать существующие профили браузеров. Это потенциально может привести к раскрытию сохранённых данных и активных сеансов, пока пользователь не замечает действий.
Скрытый доступ, сетевые функции и сбор данных
Функция Hidden RDP устанавливает пользовательские обёртки TermWrap.dll и UmWrap.dll, перенаправляет конфигурацию ServiceDll службы RDP и включает функции восстановления и очистки.
Сетевые возможности HypeAgent включают туннелирование TCP, изменение файла hosts, очистку кэша DNS, просмотр таблицы маршрутизации и завершение отдельных TCP-соединений. Встроенный HTTPS-прокси использует локально установленный центр сертификации с названием Microsoft Network Services Root. Он может переписывать HTTP-запросы и ответы, внедрять JavaScript, обрабатывать HTTP/2 и WebSockets, а также перехватывать трафик с учётом используемого браузера. Прокси способен отключать QUIC, чтобы трафик не обходил прокси-сервер.
ВПО проверяет украденные файлы cookie браузеров на онлайн-сервисах и изменяет архивы ASAR кошельков на базе Electron. В частности, оно нацеливается на данные, связанные с Exodus, и внедряет код для перехвата паролей, PIN-кодов, мнемонических фраз и закрытых ключей.
Отдельные функции отслеживают изменения настроек брандмауэра и политик, сохраняют и восстанавливают записи автозагрузки. HypeAgent также поддерживает настраиваемый майнинг криптовалют: с внедрением кода в процессы, выбором устройства, установкой интенсивности и температурных ограничений, а также планированием нагрузки.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
