Кампания с финансовыми приманками использует два пути заражения
Финансовые архивы распространялись через WhatsApp (мессенджер, принадлежит запрещённой в России и признанной экстремистской американской корпорации Meta) и электронную почту. В качестве приманки использовались счета-фактуры, чековые выписки и корректировки по счетам. Кампания предусматривает два альтернативных пути заражения.
В более раннем варианте легитимный 64-разрядный исполняемый файл, подписанный Tencent, загружает расположенную рядом вредоносную библиотеку dbghelp.dll методом подмены DLL (DLL side-loading). Сам подписанный файл не идентифицирован как вредоносный. Библиотека выполняется на этапе инициализации, до того как хост доходит до исходной точки входа.
Загрузчик получает шеллкод по HTTP с адреса 107.148.225.248/updat/dahosuday.eu.cc.bin. Он создаёт процесс mspaint.exe в приостановленном состоянии, выделяет в нём память и записывает туда загруженный шеллкод Donut. Затем загрузчик ставит APC в очередь для основного потока и возобновляет работу процесса. Шеллкод также сохраняется в реестре как двоичное значение по пути HKCU\Software\PngCache\1.png.
Donut расшифровывает свой экземпляр с помощью Chaskey-CTR, распаковывает его посредством aPLib, вручную отображает нативную DLL-бэкдор для x64 и вызывает её экспорт xiugai. Конфигурация Donut включает попытки обойти AMSI/ETW и перезаписать заголовок PE. Успешность этих действий во время выполнения не подтверждена.
В новом варианте используется модифицированный файл kvpvbsext64.dll с добавленным исполняемым разделом и перенаправленной точкой входа, которая сохраняет исходный путь инициализации. Загрузчик анализирует каталог безопасности PE хоста и извлекает зашифрованную полезную нагрузку из области таблицы сертификатов. Затем он расшифровывает её и выполняет посредством внутрипроцессного APC. Выполнение этой полезной нагрузки также основано на Donut, но её идентичность по отношению к скачанному образцу не установлена.
Бэкдор декодирует конфигурацию с помощью XOR, зависящего от позиции. По умолчанию он использует конечную точку C2 dahosuday.eu.cc:8083; альтернативная конфигурация хранится в реестре по пути HKCU\SOFTWARE\RRCfg. Бэкдор взаимодействует по «сырому» TCP с помощью HP-Socket и использует мьютекс, имя которого формируется на основе имени хоста, чтобы ограничить запуск дублирующихся экземпляров. Имплант профилирует хосты, отслеживает активность пользователей и принимает команды. Команда 0x06 доставляет PE-модуль для ручного отображения и выполнения через его базовый экспорт.
Связанный исполняемый файл YYAudioGo.exe может извлекать кэшированный шеллкод из реестра и пытаться внедрить его с помощью Early Bird APC в приостановленный процесс mspaint.exe. Успешная реактивация не подтверждена.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
