Операторы SilverFox распространяли поддельные установщики KakaoTalk через отравление поисковой выдачи

Операторы SilverFox распространяли поддельные установщики KakaoTalk через отравление поисковой выдачи. В отдельном недавнем случае конечную полезную нагрузку определили как Ghost. Образец связывался с доменом damaix9k[.]com, ранее связанным с инфраструктурой управления Ghost, распространявшей MODBEACON. Активность может относиться к экосистеме SilverFox или UTG-Q-1000, однако общей инфраструктуры недостаточно, чтобы однозначно приписать её тому же актору.

Поддельные установщики и выполнение кода

В поисковых системах пользователям показывали результаты, которые перенаправляли их на мошеннические сайты для загрузки установщиков KakaoTalk. В разных кампаниях установщики собирали с помощью NSIS, Advanced Installer и Inno Setup. Часто в них включали как легитимные компоненты установки, так и вредоносные файлы, чтобы создать видимость подлинности.

При запуске установщика в оперативной памяти выполнялся шелл-код, инициировавший загрузку конечной полезной нагрузки. Ранние варианты для выполнения шеллкода изменяли легитимные файлы с цифровой подписью. В более поздних версиях применялась подмена DLL при загрузке. В одной из кампаний javacpl.exe, связанный с Панелью управления Java, загружал вредоносный файл deploy.dll. Эта DLL устанавливала связь с инфраструктурой управления и загружала ValleyRAT.

Способы доставки и выполнения шеллкода менялись. Среди них были sRDI, Donut Loader, XOR-обфускация, переход от загрузки через CreateFile к загрузке на основе VirtualAlloc, а также виртуализация кода. В самом новом варианте зашифрованный шеллкод скрывали в PNG-файле с помощью стеганографии.

Файлы, инфраструктура и задокументированные техники

Вредоносное ПО использовало случайно сгенерированные имена файлов и пути размещения. По имеющимся данным, один образец обращался к внешнему сервису hxxps://www.qmsjmfb.com для генерации случайных строк. В другом недавнем случае вредоносный файл создали в каталоге C:\msys64, зарегистрировали как службу и запустили. Конечную полезную нагрузку в этом случае идентифицировали как Ghost. Образец установил соединение с damaix9k[.]com, доменом, ранее связанным с активностью управления Ghost, распространявшей MODBEACON.

В отчёте задокументированы следующие техники:

• отравление поисковой выдачи и распространение вредоносных файлов, T1608.006;
• маскировка, T1036;
• запуск вредоносных файлов с участием пользователя, T1204.002;
• рефлексивная загрузка или загрузка в оперативную память, T1620;
• поведение, связанное с внедрением кода в процессы, T1055;
• обфускация или стеганография, T1027.

К потенциально затронутым расположениям относятся %AppData%\comainev2f79, %AppData%\KakaoTalk Setup и файлы в каталоге C:\msys64.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.