Кампании ClickFix и TerminalFix распространяли загрузчик
Кампании ClickFix и TerminalFix распространяли загрузчик Lorem Ipsum Loader в рамках активности, связанной с развертыванием программ-вымогателей. В некоторых источниках этот загрузчик отслеживается под именами Axolotl или OAKGLINT.
Доставка и выполнение загрузчика
Загрузчик доставляли через SEO-отравленные и троянизированные установщики, скомпрометированные сайты, дропперы на Node.js, автономные сценарии PowerShell, подмену DLL и многоэтапное выполнение MSI-файлов с последующим запуском PowerShell. Среди троянизированных установщиков в наблюдаемых цепочках были Microsoft Teams, 3D PDF Maker Smart, Bitwarden VPN и ESET SysInspector.
В одной из задокументированных цепочек подмены DLL использовались подписанный исполняемый файл Microsoft, вредоносная DLL и пакетный файл. Пакетный файл закреплял вредоносную программу через ключ HKCU Run и запланированную задачу, которая запускалась каждый час и немедленно. DLL содержала дополнительный раздел `.cpoc` и словарь слов `RT_RCDATA`. Шеллкод был закодирован в виде слов, индексируемых по словарю. Его декодировали, обрабатывали операцией XOR в восьмибайтовых блоках и выполняли.
На финальном этапе вредоносная программа снимала хуки с функций `ntdll`, используя чистую копию с диска, вызывала VirtualProtect, создавала мьютекс и маркерный файл для каждого образца, а затем повторно внедряла вредоносный код во вторую копию подменённого исполняемого файла.
Другой способ доставки использовал MSI-файл с промежуточным сценарием PowerShell. Он распаковывал и запускал финальный сценарий, который определял адреса API-функций `kernel32`, выделял исполняемую память, копировал туда закодированную полезную нагрузку и выполнял её.
Связь с C2 и варианты Axolotl
Загрузчики используют WinHTTP с пользовательским агентом, похожим на Firefox. Они обращаются к профилю dead-drop на публичных форумах, извлекают список C2, закодированный словарём, и отправляют запрос на регистрацию, замаскированный под JPEG, по адресу /api/init/. Загрузчик опрашивает C2 примерно каждые пять секунд.
Доставляемый полезный груз client.py устанавливает TLS-соединение, которое переключается на WebSocket по адресу /tunnel. Он аутентифицируется с помощью UUID образца и обеспечивает двунаправленную передачу данных по TCP. Собственный протокол полезного груза поддерживает несколько потоков, сообщения поддержания соединения PING/PONG и команды завершения, поступающие от сервера.
Образцы Axolotl Loader работают как автономные исполняемые файлы и скрывают шеллкод, применяя операцию XOR к встроенным данным PNG. Выявлено три варианта. Первый хранит шеллкод непосредственно в секции `.text`. Второй использует секцию-трамплин `fothk` для перенаправления выполнения. Третий изменяет ieinstal.exe, используя секции Detours и перенаправление реестра для закрепления через значения RunOnce.
Lorem Ipsum и Axolotl демонстрируют сходное поведение на финальной стадии, характеристики C2 и инфраструктуру. При этом Lorem Ipsum использует разрешение адресов через dead-drop, внедрение кода в процессы и снятие хуков с `ntdll`, а Axolotl использует захардкоженные значения C2 и UUID и не обладает этими функциями.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
