Кампания с Astaroth распространяла вредоносные ZIP-архивы через фишинг
В проанализированной кампании банковский троян Astaroth, также известный как Guildma, атаковал пользователей, преимущественно в Бразилии. Фишинговые письма о контрактах DocuSign направляли получателей на загрузку вредоносного ZIP-архива. В перехваченном трафике исследователи обнаружили взаимодействие с ретранслятором Pinggy.
Развёртывание и запуск Astaroth
Astaroth написан на Delphi. Цепочка заражения использовала альтернативный поток данных NTFS и regsvr32.exe вместе с scrobj.dll для извлечения компонентов. Файлы размещались в каталоге C:\Users\Public\Libraries.cache\PLAX. Сценарий PowerShell в папке «Автозагрузка» пользователя запускал интерпретатор AutoIT при входе в систему.
Скрипт AutoIT восстанавливал встроенный загрузчик на Delphi. Тот расшифровывал финальную полезную нагрузку из файла metrics.mca и внедрял её в процесс RegSvcs.exe с помощью техники внедрения в пустой процесс.
Сбор данных и действия вредоносной программы
В ходе анализа исследователи восстановили защищённые строки Astaroth с помощью его собственной процедуры декодирования. В них перечислен широкий круг бразильских банков, финтех-компаний и финансовых сервисов, однако эти строки не подтверждают, что вредоносная программа обращалась к указанным организациям. Локальный путь к Sicoob также свидетельствует об осведомлённости о банковском программном обеспечении, установленном на устройстве.
Astaroth перехватывает нажатия клавиш в активном окне и собирает текст из буфера обмена. Перехваченный ввод он связывает с активной веб-страницей или приложением. Вредоносная программа может менять настройки Chrome, Edge и Firefox, отключая аппаратное ускорение, создавать ссылки в папке «Автозагрузка» для выполнения команд, завершать выбранные процессы и выполнять удалённый JScript через COM.
Конфигурация антианализа содержит имена, связанные с отладчиками, инструментами анализа, виртуальными машинами и средствами защиты. Отдельные удалённые команды могут устанавливать хуки, блокирующие клавишу Windows, выбранные сочетания клавиш и ввод с колеса мыши.
Каналы связи и настроенная инфраструктура
Файл dump.log, полученный на этапе развёртывания, содержит обфусцированную конфигурацию двух каналов связи. Прямое TCP-соединение поддерживает регистрацию жертв и интерактивные числовые команды. Через HTTP вредоносная программа может менять конфигурацию, получать обновления и, возможно, выполнять JScript.
В перехваченном трафике не обнаружили другие настроенные конечные точки, в том числе значение ngrok и сокращённые URL. Их не следует считать подтверждённой контактированной инфраструктурой.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
