Кампания Contagious Interview использует несколько каналов доставки
Кампания Contagious Interview, связанная с КНДР, использует несколько каналов доставки вредоносного ПО. Среди них поддельные рекрутеры и собеседования, убеждающие разработчиков выполнить код, запросы на исправление работы камеры, наложения ClickFix на скомпрометированных сайтах WordPress и поддельные сайты криптовалютных компаний.
Наложения ClickFix соответствуют характеристикам, приписываемым набору инструментов ErrTraffic-as-a-service. В частности, его конфигурация размещена на Polygon, а инструкции для Windows и macOS различаются. Пользователям предлагают нажать Win+X, а затем I. Исследователи предполагают, что операторы сочетают такой нецелевой трафик с целевой социальной инженерией.
По каналам доставки распространяются загрузчики первого этапа. Они устанавливают портативную версию Node.js и запускают обфусцированный загрузчик из скрытого каталога. В Windows он создаёт файл ~/.vs_cache/main.js, а варианты для Linux и macOS используют аналогичные скрипты. Загрузчик получает адрес управления, обращаясь к смарт-контракту Polygon, затем запрашивает у сервера полезную нагрузку для конкретной сессии, обычно через порт 5000.
RAT следующего этапа выполняется в оперативной памяти. Его сетевой обмен включает регистрацию жертвы, трафик удалённого управления и загрузку файлов. Исследователи обнаружили несколько контрактов с записями C2, помеченными названиями команд, среди которых team1, team2, team3, team9 и team10.
RAT может загрузить Keyboard Sync Agent. Этот компонент перехватывает нажатия клавиш и активность буфера обмена, собирает сведения о приложении на переднем плане и заголовке окна, а затем отправляет данные оператору. RAT также извлекает DLL, связанную с доступом к паролям и файлам cookie в Chrome, защищённым механизмом App-Bound Encryption.
Имплант проверяет наличие виртуализованных сред и закрепляется в системе через ключ Run в Windows, указывающий на VBS-загрузчик. Перед установкой закрепления он удаляет несколько устаревших записей в разделе Run.
Отдельная цепочка заражения использует файл 2.bat, чтобы доставить архив npm.zip размером около 84 МБ и дополнительную полезную нагрузку. В этой цепочке адрес C2 задан жёстко, а не определяется через Polygon, как в случае с загрузчиком. Инфраструктуру доставки исследователи связывают с более широкой кампанией по общим хостинговым ресурсам и характеристикам серверов.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
