Кампания GoodPerson распространяет ВПО под видом популярных приложений
Кампания GoodPerson распространяет вредоносное ПО среди пользователей, которые ищут программы для обхода интернет-цензуры в Китае. Среди приманок фигурируют Chrome, Telegram и LetsVPN, а также установщик NetEase Cloud Music, который используют более оппортунистически. Вредоносное ПО поставляют в неподписанных пакетах MSI вместе с легитимным установщиком, загрузчиком и зашифрованной полезной нагрузкой. Приложение работает штатно, а вредоносный код выполняется в фоновом режиме, снижая вероятность обнаружения компрометации жертвой.
Изменения в загрузчиках и вредоносной нагрузке
Ранние образцы, в том числе googlechrome64.0.2.msi, извлекали DLL из встроенного ресурса с помощью рутины XOR. DLL устанавливала руткит PurpleFox, который регистрировался как служба QAssist. PurpleFox умеет изменять настройки RDP и поддерживает DLL-модули для работы с буфером обмена. Для кражи учётных данных использовалась утилита GetMP, совместимая с Mimikatz.
В более поздних образцах появились зашифрованная полезная нагрузка в формате .dat и открытый загрузчик на LuaJIT. PurpleFox при этом сохранился, но часть прежних функций, связанных с RDP и GetMP, удалили. Позже в кампании появился GoodPersonRAT, ознаменовавший переход от драйверов PurpleFox к собственному фреймворку TerminalControlClient.
В более свежих образцах, связанных с тематикой Telegram, вредоносное ПО изменили для более эффективной работы при выполнении от имени SYSTEM. Это позволяло ему находить данные пользовательских браузеров, а не обращаться к профилю SYSTEM. Вредоносное ПО нацелено на каталог tdata Telegram, а также на данные QQBrowser, Sogou Explorer и 2345 Explorer. Оно может удалять информацию из браузеров и перехватывать вводимые позднее учётные данные с помощью регистрации нажатий клавиш.
Возможности образцов GoodPerson
В образцах кампании поддерживаются функции управления файлами, выполнения команд через cmd.exe, туннелирования через прокси SOCKS5 и HTTP, захвата экрана и удалённого управления, регистрации нажатий клавиш, кражи содержимого буфера обмена, сбора данных браузеров, обнаружения антивирусов и средств защиты конечных точек, а также закрепления.
Инфраструктура кампании
Образцы используют общую инфраструктуру и техники загрузчиков, а также демонстрируют повторяющееся поведение полезной нагрузки. В кампании встречается IP-адрес 27.124.13.32, размещённый в Тайбэе и ранее связанный с вредоносным ПО mgh0st и HiddenGhost. Операторы GoodPerson остаются неидентифицированными.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
