Кампания в Португалии распространяет банковский троян Recorteiro для Windows
Кампания распространяет банковский троян на Rust Recorteiro среди пользователей Windows в Португалии. Злоумышленники используют поддельные счета за электроэнергию от EnergiaLusa. Доказательства указывают на кампанию, ориентированную на Португалию, и возможные связи с Бразилией, но не позволяют установить личности операторов.
Доставка и закрепление Recorteiro
Пакетный файл запускается в свёрнутом режиме, отправляет сигнал о кампании, загружает PowerShell-стадию с помощью curl.exe и запускает её в обход политики выполнения. PowerShell-дроппер загружает и запускает загрузчик, а затем проверяет наличие недавно созданных или изменённых папок установки.
Загрузчик закрепляется в системе через значение реестра HKCU Run со случайным именем, запланированную задачу и службу Windows. Он контролирует основной процесс, поддерживает обновления с цифровой подписью и может откатить версию, которая аварийно завершает работу. Загрузчик также скачивает из инфраструктуры управления (C2) зашифрованное ядро размером около 23 МБ.
Код загрузчика идентичен во всех образцах, однако добавленные файлы-приманки и данные, специфичные для каждой сборки, меняют хеши файлов. Ядро расшифровывается и записывается с уникальным хешем для каждой жертвы. Конфигурация и строки зашифрованы или обфусцированы.
Управление трояном и кража данных
При запуске ядро получает текущий адрес C2 из Supabase, используя windowshelpers.com как резервный вариант. Связь с сервером управления идёт через TLS WebSocket. Ядро передаёт сведения об узле, установленных средствах защиты, экране и состоянии загрузчика. Оно инвентаризирует средства защиты, но не пытается отключать их или завершать их процессы.
Ядро передаёт оператору сигналы, указывающие на среду анализа. Оператор может решить, приостанавливать ли работу агента или блокировать её. Когда жертва открывает настроенный целевой объект, операторы получают уведомление о совпадении окна и процесса. Сервер предоставляет списки целей, в которые входят португальские банки Millennium bcp, Novo Banco, Santander и BPI.
Recorteiro умеет создавать скриншоты, передавать видео в формате H.264 по WebRTC и удалённо управлять клавиатурой и мышью. В режиме мошенничества «Recort» троян размещает поверх рабочего стола полноэкранное наложение с отверстием, через которое видна область на подлинной странице банка. Ввод жертвы ограничивается этой областью, при этом оператор может вводить данные.
Принудительно устанавливаемое расширение для Chrome и Edge добавляет контроль на уровне браузера и позволяет получать данные банковской сессии. Троян также крадёт пароли браузеров, файлы cookie, сохранённые данные карт, историю и данные локального хранилища из множества браузеров, а также нацеливается на криптовалютные кошельки. Для доступа к Chrome App-Bound Encryption он выполняет код внутри подлинного процесса браузера.
Отдельные инструменты в рамках операции поддерживают доставку загрузчика с тегом партнёра и управление кампаниями.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
