OpenSUpdater скрывает загрузчик в компонентах установщиков

Образцы OpenSUpdater, которые Microsoft также обнаруживает как Snackarcin, используют модифицированные установщики, чтобы скрыть вредоносный код в компонентах установщика или легитимных модулях программного обеспечения.

Недавние образцы распространяются в виде самораспаковывающихся архивов 7-Zip с установщиком foobar2000 под именем setup.exe. Файлы подписаны цифровой подписью Animated Productions, LLC. В сертификате подписи повторяются байты 0xB8 и 0x84, добавляющие в бинарный файл незначащие данные. Это может изменять хеши между сборками, сохраняя действительность подписи.

Основной метод обхода обнаружения заключается в перекомпиляции или модификации стандартного модуля SFX 7-Zip. Аналитики обычно изучают конфигурацию SFX и встроенные файлы, а загрузчик распаковки считают безвредным, поскольку обычно он содержит стандартный код 7-Zip. Однако в рассматриваемых образцах модифицированный модуль SFX в точке входа скрывает загрузчик OpenSUpdater. Он включает обработчик маяка, загрузчик данных и загрузчик полезной нагрузки, получает URL сервера управления (C2) через обфусцированную функцию и регистрируется на сервере с помощью магической последовательности байтов, которая может идентифицировать заражённые системы. Затем загрузчик использует статически скомпилированные функции библиотеки cURL, чтобы скачать две DLL и зашифрованный блок полезной нагрузки.

В других установщиках OpenSUpdater для сокрытия используются доверенные или открытые компоненты. Один образец задействует плагин NSIS EmbedHtml и помещает загрузчик в функцию EmbedHtml::GetUrl(). Вредоносный код выполняется, только если функция получает пустую строку. Загрузчик извлекает URL сервера C2 из сжатого блока данных, встроенного в скрипт NSIS, устанавливает соединение с сервером и запрашивает полезную нагрузку.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.