QBOT добавляет каталог закрепления в исключения Windows Defender
QBOT (QAKBOT), модульный троян для Windows, активный с 2007 года, злоумышленники, в том числе группы, распространяющие программы-вымогатели, часто используют как фреймворк для первоначального доступа и загрузки вредоносного кода. Проанализированную 32-разрядную DLL доставили с помощью цепочки команд с cmd.exe, curl.exe и regsvr32.exe. Команды создали каталог, скачали файл, замаскированный под C.png и получивший альтернативное имя, а затем запустили его с помощью Microsoft Register Server. На 64-разрядных системах Windows для выполнения использовали regsvr32.exe из каталогов System32 и SysWOW64. Затем QBOT запустил explorer.exe и внедрил шеллкод в этот процесс.
Перед продолжением работы вредоносное ПО проверяло окружение, в том числе указанные в системе языки по умолчанию. Поток-наблюдатель (watchdog thread) искал среди запущенных процессов инструменты защиты и инструментирования. При обнаружении отслеживаемых процессов QBOT мог обходить встроенную инфраструктуру управления, генерировать случайные IP-адреса и записывать событие в реестр Windows. Кроме того, вредоносное ПО определяло установленное антивирусное программное обеспечение, анализируя запущенные процессы. Если обнаруживался Windows Defender, QBOT с помощью reg.exe добавлял каталог закрепления в исключения Defender.
Для обхода защиты и закрепления внедрённый процесс копировал исходную DLL в расположение со случайным именем в сетевом профиле пользователя (roaming profile). В качестве примера указано AppData\Roaming\Microsoft\Vybgeuye\maonyo.dll. Копирование позволяло продолжить выполнение кода, если первоначально загруженный файл удаляли. QBOT создавал закрепление при входе в систему через пользовательский ключ реестра Run и дополнительный пользовательский путь в реестре. В нём содержались зашифрованные или бинарные данные, использовавшиеся для поиска скопированной DLL. По результатам статического анализа образец потенциально мог устанавливать закрепление для нескольких пользовательских SID.
В образце содержалось 138 IP-адресов управления, зашитых в код или обнаруженных при анализе. Эти адреса были связаны с 339 другими вредоносными файлами, в том числе с QBOT, EMOTET и типовыми вредоносными файлами Office. По оценке авторов отчёта, это указывает на повторное использование инфраструктуры, контролируемой злоумышленниками. Среди обнаруженных индикаторов компрометации перечислены внедрение шеллкода, запись подозрительных значений в ключи Run реестра и создание подозрительных запланированных задач.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
