Поддельный GlobalProtect использует Google Sheets как канал управления
Контролируемое выполнение образца подтвердило проверку страны Myanmar (MM), получение токена доступа Google OAuth и аутентифицированное взаимодействие с Google Sheets. При этом команда в захваченной ячейке отсутствовала, а выполнения команд, создания оболочки, сбора вывода и записи результатов в Sheet1!D1 не обнаружено. Имеющиеся данные не связывают образец с HoneyMyte, CoolClient, Voldemort, SHEETCREEP, GRIDTIDE, Palo Alto Networks или другим известным злоумышленником.
Маскировка и закрепление в системе
Проанализированный файл представляет собой неподписанный MSI, замаскированный под Palo Alto Networks GlobalProtect версии 11.5.0. Внутри находится неподписанный 64-разрядный исполняемый файл GlobalProtect.exe. Пакет устанавливается в каталог Program Files с оформлением под PaloAlto.
MSI использует обманные метаданные, исполняемое настраиваемое действие и запланированную задачу с именем GlobalProtectVPNUpdate. Среди артефактов закрепления также обнаружены записи, связанные с RunOnce.
Пакет записывает локальные копии bcrypt.dll и WININET.dll. Эти библиотеки загружаются из каталога приложения и могут создавать риски, связанные с порядком поиска DLL или подменой бинарных файлов. Для них требуется проверить подписанта и хеш.
Проверка окружения и облачный канал
Вредоносное ПО реализует поэтапную цепочку выполнения. Сначала оно отправляет запрос к ip-api.com/json с пользовательским агентом SheetsBot/1.0 и проверяет, соответствует ли возвращённая страна значению Myanmar (MM). Контролируемое выполнение подтвердило отправку запроса и получение ответа для Myanmar. Это указывает на географическое условие активации или ограничение целевой аудитории.
Затем образец разрешает имя узла Cloudflare Worker. В DNS наблюдалось имя sheets-config-gate.hewlett-pack1.workers.dev. Дополнительные нумерованные узлы Worker восстановили из памяти процесса, однако независимо в сетевом трафике их не наблюдали.
Данные отладчика и памяти показали, что ответ Worker содержал идентификатор электронной таблицы Google Sheets и полный объект учётных данных сервисной учётной записи Google. Вредоносное ПО сформировало подписанное утверждение JWT RS256 и успешно получило токен доступа Google OAuth.
Данные последующего выполнения подтвердили чтение из Sheet1!A1, обновление Sheet1!B1 и опрос Sheet1!C1. Эти действия подтверждают аутентифицированное взаимодействие с Google Sheets и опрос по каналу управления. Захваченная ячейка с командой не содержала команды. Свидетельств выполнения команд, создания оболочки, сбора вывода или записи результатов в Sheet1!D1 не обнаружено.
Атрибуция и ограничения анализа
Использование Cloudflare Workers, OAuth сервисной учётной записи Google и Google Sheets в качестве канала управления согласуется с известными техниками злоупотребления облачными сервисами. Однако собранные данные не связывают образец с перечисленными группировками, продуктами или Palo Alto Networks.
Сетевые данные и сведения, полученные из памяти, собирали в ходе отдельных выполнений. Возможность восстановить полное поведение ограничивают неполная телеметрия, шифрование TLS, влияние отладчика и утраченные события трассировки API.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
