PowerShell загрузил в память форк AsyncRAT на базе DCRat

Фишинговая кампания использовала письма на португальском и испанском языках, связанные с судебными, налоговыми и административными вопросами. Контролируемый анализ подтвердил возможности цепочки атаки и RAT, однако успешную компрометацию, выполнение команд, кражу данных или перемещение внутри компании в реальной среде жертвы не установили.

В одном из случаев приманкой служил файл SVG, замаскированный под документ XHTML. Он отображал поддельную страницу колумбийских судебных услуг. Внедрение данных в HTML в браузере приводило к локальному созданию защищённого паролем ZIP-архива, что позволяло обойти проверку архива на почтовом шлюзе. Внутри находился дроппер на JavaScript, замаскированный под инструмент для настройки сети.

Сценарии JavaScript собирали сведения о хосте: запрашивали версию Windows, сетевой профиль, дату установки, имя компьютера, объём памяти, переменные окружения и локализованные каталоги. Цепочка проходила через JavaScript и VBS, а затем переходила к PowerShell. VBS-стадия обходила AMSI и ETW, хранила зашифрованные данные полезной нагрузки в переменных окружения и создавала восстанавливаемый механизм закрепления. Она также удаляла исходный файл XHTML и его метку Mark-of-the-Web. PowerShell декодировал конечную полезную нагрузку с помощью AES-256-ECB, кастомного Base85 и GZIP, затем загружал в память нативный x64 RAT.

По коду, конфигурации и поведению конечную полезную нагрузку классифицировали как форк AsyncRAT на базе DCRat. В лаборатории установили, что RAT поддерживает скрытый виртуальный рабочий стол, блокировку клавиатуры и мыши, регистрацию нажатий клавиш, захват экрана, потоковую передачу медиа, имперсонацию токена и зашифрованные каналы управления. Доменная зона распространения crp2026[.]online была защищена Cloudflare, а домен vpfinal142[.]myvnc[.]com связывали с узлом управления по адресу 45[.]146[.]81[.]142. На узле обнаружили открытые порты 4782, 5357 и 5985. Адреса граничных узлов Cloudflare не следует считать исходными адресами оператора.

В отчёте операцию оценивают как связанную с APT-C-36. Среди индикаторов, характерных для операций в Бразилии, исследователи выделяют приманки и код на португальском языке, расположение инфраструктуры и часовой пояс. Эти оценки относятся к атрибуции и не доказывают личность конкретного оператора.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.