PowerShell-загрузчики и Remcos RAT: новые угрозы кибербезопасности

PowerShell как оружие киберпреступников: современные методы скрытых атак

Последние исследования показывают, что киберпреступники все чаще используют PowerShell для проведения скрытых атак, которые успешно обходят традиционные антивирусные программы и стандартные средства защиты конечных устройств. Такой подход позволяет запускать вредоносный код непосредственно в памяти, что сводит к минимуму вероятность его обнаружения на диске и значительно усложняет работу по выявлению угроз.

Remcos Remote Access Trojan: угроза изнутри

Одним из ярких примеров таких угроз является троян Remcos Remote Access Trojan (RAT). Эта вредоносная программа предоставляет злоумышленникам полный контроль над целевыми системами и широко используется в кампаниях по кибершпионажу и краже данных.

В последних атаках метод доставки Remcos включает использование вредоносных файлов LNK, которые часто замаскированы под документы Office и упакованы в ZIP-архивы. В начальной фазе цепочки атаки задействуется mshta.exe для запуска прокси-сервера, а новый вариант загрузчика получил название K-Loader.

Механизмы загрузчика и обхода защиты

В ходе исследования был представлен загрузчик шелл-кода на базе PowerShell, который обеспечивает выполнение варианта Remcos RAT. Особенности его работы включают:

• Использование запутанного VBScript в HTA-файле для обхода Windows Defender.
• Загрузку скрипта PowerShell в каталог C:/Users/Public/, специально добавленный в путь исключения для обеспечения постоянства.
• Установку политик выполнения для обхода ограничений PowerShell и запуск сценария в скрытом режиме.
• Изменение реестра Windows для поддержания постоянного присутствия вредоносного кода.

Загруженный вредоносный скрипт, известный как 24.ps1, отличается высокой степенью запутанности и выполняет перестройку закодированных массивов байт для выполнения своих действий напрямую в памяти. Для выделения памяти используется функция Windows API VirtualAlloc(), а выполнение осуществляется с помощью CallWindowProcW().

Структура полезной нагрузки и методы защиты от обнаружения

Полезная нагрузка состоит из двух компонентов:

• Загрузчик объемом 104 КБ
• PE-файл размером 484 КБ — 32-разрядная версия Remcos RAT, скомпилированная в Visual Studio C++

Перед запуском вредоносная программа проверяет наличие мьютекса с именем Rmc-7SY4AX. Если такой мьютекс обнаруживается, выполнение прекращается, что препятствует множественному запуску и облегчает сокрытие активности. В противном случае создается соответствующий мьютекс для сохранения постоянства.

Основные функции Remcos включают:

• Техника «опустошения» для инъекции кода в процесс svchost.exe.
• Сбор системной информации с попытками обхода контроля учетных записей пользователей (UAC) через ICMLuaUtil с повышенными правами.
• Использование «Сторожевого модуля» для поддержания непрерывной работы вредоносного ПО.
• Обмен данными с сервером управления по протоколу TLS.
• Реализация кейлоггинга с помощью функции SetWindowsHookExA для перехвата нажатий клавиш и отправки их на C&C сервер.
• Методы антианализа, включая векторную обработку исключений и обнаружение отладчиков, для борьбы с реверс-инжинирингом.

Переход к безфайловым атакам и вызовы безопасности

Эволюция данного загрузчика шеллкода отражает тенденцию к использованию безфайловых методов атак. Злоумышленники все чаще применяют надежные системные двоичные файлы для минимизации своего следа на диске. Такой подход значительно осложняет криминалистический анализ и требует переосмысления подходов к защите информационных систем.

Для успешного обнаружения и предотвращения таких угроз, как Remcos, необходимо внедрение эффективных механизмов защиты, среди которых ключевыми являются:

• Ведение детального журнала событий PowerShell.
• Мониторинг AMSI (Antimalware Scan Interface) для выявления вредоносных скриптов.
• Использование надежных решений Endpoint Detection and Response (EDR) с поведенческим анализом.
• Непрерывный мониторинг критических точек выполнения и выявление поведенческих аномалий.

Только системный и комплексный подход поможет противостоять растущей волне сложных и скрытных кибератак.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.