QUICSILVER нацелена на связанные с Мьянмой организации
Операция QUICSILVER, по имеющимся данным, представляет собой кампанию промышленного шпионажа против организаций, связанных с Мьянмой. В кампании использовались приманки дипломатического, регионального, обучающего и праздничного характера. Восстановленный полезный код создал ярлык в папке автозагрузки Windows, что служит прямым доказательством закрепления. При этом независимая атрибуция к конкретной хакерской группировке или стране происхождения не установлена.
Цепочка доставки и состав полезной нагрузки
Цепочка доставки включала:
- виртуальный жёсткий диск с замаскированным ярлыком Windows;
- приманку в формате PDF;
- скрипт FTP-команд;
- два фрагмента полезной нагрузки.
Ярлык использовал иконку PDF, запускал ftp.exe с указанным скриптом и открывал минимизированное окно. Внутри виртуального диска находилась вложенная структура скрытых каталогов. Скрипт объединял файлы header.doc и body.doc в Windowsupdate.exe, после чего выполнялся восстановленный бэкдор.
Статический анализ показал, что полезная нагрузка представляет собой приложение для Windows, написанное на языке Go. Восстановленные метаданные указывают на использование Go 1.20, модуля agent, компилятора gc, включённого CGO и целевой платформы Windows/AMD64. Дополнительный анализ выявил встроенные зависимости QUIC и инфраструктурные зависимости.
В полезной нагрузке также обнаружен самоподписанный центр сертификации ECDSA P-384 с названием «RAT CA». Эти данные указывают на доверие к частному центру сертификации, контролируемому злоумышленником, а не на неизменяемое закрепление за конкретным листовым сертификатом.
В отчёте семейство полезной нагрузки отнесено к оценке «QUICAgent» компании Seqrite. Артефакты подтверждают техническую связь с инфраструктурой кампании и кластером сборщиков, о которых сообщалось, но не обеспечивают самостоятельного доказательства атрибуции.
Закрепление и поведение при анализе
Восстановленный полезный код успешно выполнился и создал ярлык в папке автозагрузки Windows. Трассировка, обусловленная наличием отладчика, зафиксировала вызов IsDebuggerPresent. Затем аналитик выполнил переопределение, работавшее только в памяти.
После вмешательства аналитика в трассировке зафиксировали создание скрытого процесса PowerShell с параметрами -WindowStyle Hidden и -ExecutionPolicy Bypass. Процесс запускал временный скрипт размером 287 байт, который впоследствии удалили. Поскольку эти события произошли после вмешательства аналитика, их нельзя рассматривать как первичное поведение вредоносного ПО.
Сетевые обращения и результаты проверки
Вредоносное ПО многократно запрашивало два встроенных имени хостов Worker. Вызовы GetAddrInfoW возвращали код 11001, WSAHOST_NOT_FOUND. Успешного разрешения имени, сессии QUIC, обмена с C2, выполнения команд, передачи файлов и эксфильтрации не зафиксировали.
Вредоносное ПО открыло и закрыло два сокета датаграмм. Сохраняющейся активности по отправке или получению данных не обнаружили. Отключённый сетевой интерфейс не зафиксировал ни одного пакета, поэтому эти данные не подтверждают и не опровергают сообщения о коммуникациях QUIC и HTTP/3 по UDP 443.
Сканирование MalwareINFO дало подозрительный результат или результат Zero-Day. Его доказательную ценность ограничивают деградировавшая защита памяти, недоступные базы данных хэшей, неполное покрытие трассировки и сбои в рабочих процессах обогащения данных.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
