Импланты NIK C2 сочетают кражу данных и удалённое управление
Cisco Talos проанализировал несколько имплантов для Windows на Go, связанных с NIK C2, и обнаружил активную инфраструктуру. Имена сертификатов в ней совпадают со строками, встроенными в вредоносное ПО. Импланты совмещают кражу данных и учётных данных с интерактивным удалённым доступом, наблюдением, проксированием, перемещением внутри организации и потенциальным вымогательством.
Вредоносное ПО собирает логины и пароли, файлы cookie, данные автозаполнения, закладки и профили браузеров Chromium и Firefox, токены Discord, сохранённые учётные данные Wi-Fi, а также данные криптографических кошельков на рабочем столе и в расширениях браузера. Оно ищет файлы, содержащие фразы восстановления, закрытые ключи и другие конфиденциальные данные. Клавиатурный шпион передаёт нажатия клавиш оператору в реальном времени и сохраняет их в ограниченном буфере для последующего извлечения.
Собранные данные шифруются и передаются через постоянное соединение WebSocket, а HTTP служит резервным каналом. Через ту же систему управления оператор может создавать скриншоты, выполнять команды, передавать файлы, проксировать трафик и создавать обратные туннели. Среди других функций есть мониторинг буфера обмена, захват аудиоданных и скрытое управление виртуальным рабочим столом. Имплант взаимодействует с RDP и потенциально может использовать скомпрометированный хост как внутренний ретранслятор для доступа к другим системам и службам.
NIK C2 также поддерживает управляемые оператором запросы с заражённого компьютера к API Chat Completions компании OpenAI. Оператор задаёт текст запроса, модель и ключ API. Если ключ не предоставлен, вредоносное ПО проверяет переменные окружения хоста на наличие ключа API OpenAI. Оно обрабатывает ответ локально и возвращает его по каналу управления, поддерживая использование ИИ в рамках текущей сессии оператора.
Вредоносное ПО содержит функцию блокировки экрана и код для размещения заглушки, связанной с возможным буткитом. Talos подтвердил наличие функции блокировки экрана, но оценил логику буткита как незавершённую, а не рабочую.
Talos рекомендует рассматривать затронутые хосты как активные точки интерактивного доступа. Необходимые меры включают сдерживание, аннулирование учётных данных и токенов, расследование возможной утечки данных из браузеров и кошельков, а также анализ активности прокси, RDP, туннелей и внутренней сети.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
