Phantom Stealer распространяется через фишинговые письма

Phantom Stealer распространяется через фишинговое письмо с архивом, содержащим обфусцированный файл JavaScript. Для закрепления на заражённой системе используются записи автозагрузки, запланированные задачи и службы, которые поддерживают присутствие вредоносного ПО.

При запуске первый скрипт загружает второй JavaScript-пакет. С помощью функции PowerExecutor второй скрипт формирует и запускает скрытую команду PowerShell. Она декодирует содержимое в формате Base64 и выполняет его с помощью Invoke-Expression.

Стадия PowerShell загружает удалённый файл по URL Cloudinary. Файл скачивается как изображение JPG, но содержит данные между маркерами BaseStart- и -BaseEnd. Скрипт извлекает их, декодирует из Base64 и загружает полученную сборку .NET непосредственно в память. Затем он вызывает метод Main(), передавая ему дополнительные данные, закодированные в Base64.

На более раннем этапе цепочки загрузчик также ссылается на TXT-файл с кодом JavaScript.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.

Автор: Технологии киберугроз

Технологии киберугроз – технологическая компания, специализирующаяся на решениях по анализу угроз для предприятий любого размера. Мы собираем, нормализуем, обогащаем информацию о киберугрозах со всего мира. Нашими источниками являют более 260 открытых фидов, более 100 открытых поставщиков Threat Intelligence-отчетов, открытые online sandbox, социальные сети и репозитории GitHub. Мы также предоставляем ряд сервисов по: семантическом анализу Threat Intelligence-отчетов и приведения их в машиночитаемый формат STIX 2.1, проверки IoC на потенциальные ложноположительные сработки, а также получению WHOIS-записей для доменных имен.

Комментарии: