QBOT V4 внедряется в процессы и закрепляется в системе
QBOT/QAKBOT V4, модульный многоэтапный банковский троян, загружает и запускает дополнительные полезные нагрузки, а также выполняет действия после компрометации. Проанализированный образец запускается через regsvr32.exe, который вызывает экспортированную функцию DllRegisterServer. Перед внедрением второй стадии троян проверяет наличие артефактов песочницы Windows Defender, обнаруживает установленные антивирусные продукты, ищет раскладки клавиатуры с кириллицей и собирает отпечаток хоста для инициализации генератора псевдослучайных чисел Mersenne Twister.
Внедрение и закрепление в системе
На основании обнаруженных средств защиты и архитектуры системы QBOT выбирает целевые процессы и внедряет в них вторую стадию. Для этого он использует техники CreateProcess, WriteProcessMemory и возобновления процесса. На втором этапе троян копирует исполняемый файл в память и повреждает исходный файл на диске. Конфигурационные данные он расшифровывает из встроенного ресурса или необязательного файла .cfg, а затем сохраняет конфигурацию в реестре.
QBOT создает каталог со случайным именем в %APPDATA%\Microsoft и размещает там копию в памяти для закрепления при завершении работы или перезагрузке системы. Кроме того, троян перечисляет локальных и доменных пользователей и пытается установить для каждой учетной записи конфигурацию, каталоги закрепления и механизмы запуска.
В зависимости от контекста выполнения QBOT может создать запись в реестре CurrentVersion\Run или зарегистрировать запланированную задачу, чтобы запускать службу трояна от имени NT AUTHORITY\SYSTEM. Если QBOT запущен с правами SYSTEM, он может добавить каталог закрепления в списки исключений Windows Defender и Microsoft Security Essentials.
Связь с управляющим сервером и возможности трояна
На третьем этапе QBOT отслеживает события приостановки и возобновления работы системы, а также завершения работы и перезагрузки. В зависимости от этих событий троян динамически создает или удаляет механизмы закрепления. Программа-наблюдатель каждую секунду проверяет запущенные процессы на наличие заранее заданных исключений. Если обнаруживается такой процесс, QBOT устанавливает в реестре «предохранитель», после чего использует случайно сгенерированные IP-адреса вместо связи с легитимной инфраструктурой управления.
Для обмена данными с C2 QBOT использует HTTP и TLS. Он передает зашифрованные сообщения, закодированные в base64 и содержащие данные в формате JSON. C2 может отправлять обновления конфигурации и доменных имен, обновлять троян, выполнять команды оболочки и передавать бинарные файлы для внедрения или запуска без создания файлов.
QBOT обфусцирует строки с помощью XOR-шифрованных банков строк, разрешает API по хешированным именам экспортируемых функций и шифрует конфигурацию и доменные ресурсы с проверками целостности. Для сбора информации об узле он может использовать API Windows, команды оболочки и WMI. Модульная архитектура трояна также поддерживает внедрение библиотек, обратные шеллы, функциональность VNC, проксирование, управление внедренными процессами и полученными бинарными файлами.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
