Microsoft выявила кампанию с поддельными сайтами и вредоносными установщиками
Microsoft отслеживает активную кампанию, в рамках которой злоумышленники распространяют вредоносные установщики через поддельные сайты для загрузки программного обеспечения. Атаки в первую очередь затрагивают китайские подразделения многонациональных организаций и пользователей, говорящих на китайском языке.
Под прицелом оказались организации из сфер здравоохранения, производства, игрового бизнеса, технологий, логистики, государственного управления и образования. Для маскировки злоумышленники часто используют домены, связанные с Китаем, включая .com.cn, .hl.cn и .cn.
Связь с Silver Fox и Yinhu
Хосты, применяемые для доставки вредоносных файлов, регулярно меняются. Предположительно, вредоносные архивы размещаются в Alibaba Cloud Object Storage Service.
Microsoft с умеренной степенью уверенности оценивает, что эта кампания соответствует публично задокументированной активности Silver Fox и Yinhu. При этом компания не связывает атаку с государственным актором.
Как происходит заражение
Цепочка атаки начинается после того, как пользователь загружает архив и извлекает его с помощью Microsoft Edge, 7-Zip, 360zip или WinRAR.
Встроенный wrapper запускает исполняемый файл со случайным именем из каталогов, доступных для записи, например C:\ProgramData или C:\Users\Public. Некоторые полезные нагрузки маскируются под Indigo Rose TrueUpdate Client. Они используют легитимное поведение механизма обновления, чтобы загружать дополнительные этапы из Alibaba Cloud OSS по TLS.
В другом варианте применяется msiexec.exe во встроенном режиме. В результате исполняемый файл со случайным именем записывается и запускается из каталога, доступного для записи всем пользователям.
Закрепление и ослабление защиты
Закрепление, Persistence, обеспечивается с помощью запланированных задач с безобидными на вид именами. Они многократно запускают полезную нагрузку из каталога C:\ProgramData, формируя цикл выполнения продолжительностью около 60 секунд.
Вредоносное ПО также создает временные запланированные задачи уровня SYSTEM с помощью команды SCHTASKS /RL HIGHEST /RU SYSTEM. Они нужны для выполнения привилегированных действий, включая изменение исключений Microsoft Defender. После выполнения задач злоумышленники удаляют их.
Для внедрения кода, Process Injection, используются удаленные потоки в легитимных пользовательских приложениях.
Вредоносное ПО пытается ослабить средства защиты несколькими способами:
- добавляет широкие исключения для Microsoft Defender;
- записывает вредоносные политики Windows Defender Application Control;
- отключает или изменяет компоненты Windows Update;
- удаляет теневые копии.
Инфраструктура и дальнейшая активность
Компоненты поздних этапов взаимодействуют по нестандартным портам, включая 5090, 7031, 7032, 7088–7090, 8050, 28290 и 28300.
Инфраструктура C2 использует ротацию шестизначных доменов в зоне .net и конечные точки в формате «IP-адрес:порт». Microsoft зафиксировала узел-хаб по адресу 202.95.14.237.
Кроме того, исследователи обнаружили попытки перемещения внутри компании по протоколу SMB и интерактивную активность злоумышленника в режиме «руки на клавиатуре».
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
