LOBSHOT использует скрытый рабочий стол Windows для удалённого управления
LOBSHOT, семейство вредоносного ПО для Windows, обнаружили более чем в 500 образцах с июля. Исследователи с умеренной уверенностью оценили, что группировка TA505 использовала LOBSHOT с 2022 года. Инфраструктура пересекается с доменами, ранее связанными с TA505 и загрузчиком Get2.
Распространение и закрепление LOBSHOT
Образцы LOBSHOT обычно представляют собой 32-битные DLL или исполняемые файлы размером примерно от 93 до 124 КБ. Вредоносное ПО распространяли в кампаниях вредоносной рекламы: злоумышленники выдавали его за легитимные программы, в том числе AnyDesk, и использовали Google Ads и мошеннические сайты для загрузки. Установщики содержали бэкдоры, запускавшие LOBSHOT после скачивания рекламируемого приложения.
Для затруднения анализа LOBSHOT динамически разрешает функции Windows API и использует зашифрованные строки. Перед запуском программа проверяет, не выполняется ли она в эмуляторе. Для этого она ищет заданные имя компьютера HAL9TH и имя пользователя JohnDoe, а при обнаружении этих значений завершает работу.
Перед сетевым взаимодействием вредоносное ПО собирает сведения об узле: MachineGuid, редакцию Windows, имя пользователя и компьютера, информацию о процессах и индикаторы виртуализации. Оно также получает данные о рабочем столе и окнах, характеристики дисплея и связанные с ними дескрипторы.
LOBSHOT копирует себя в каталог C:\ProgramData, запускает новый процесс через explorer.exe, завершает исходный процесс и удаляет начальный файл. По оценке исследователей, это может нарушить анализ дерева процессов и привести к тому, что вредоносное ПО продолжит работу без видимого родительского процесса. Для закрепления в реестре текущего пользователя создаётся значение со случайным именем в ключе Run. В ветке HKCU\Software\Microsoft\Windows NT\CurrentVersion\Devices LOBSHOT использует значения реестра для отслеживания состояния заражения, хранения результатов работы стиллера и потенциального получения обновлённых данных управления.
Кража данных и удалённое управление
Функция кражи информации нацелена на расширения браузеров для криптографических кошельков. LOBSHOT пытается получить доступ к 32 расширениям Chrome, девяти расширениям Edge и 11 расширениям Firefox. В каждом образце зашифрованы и жёстко заданы IP-адрес и порт центра управления. Вредоносное ПО отправляет маяки примерно каждые пять секунд, а после начального рукопожатия передаёт собранные данные об узле и рабочем столе.
Основная функциональность LOBSHOT связана со скрытым модулем VNC. Он создаёт скрытый рабочий стол Windows с помощью функции CreateDesktopW, назначает поток вредоносного ПО этому рабочему столу с помощью SetThreadDesktop и запускает на нём explorer.exe. Операторы могут выполнять команды, запускать браузеры и процессы, манипулировать буфером обмена, управлять меню Пуск, изменять настройки звука, а также завершать работу Explorer или перезапускать его без подозрений со стороны жертвы.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
