Radmin и UltraVNC превращают заражённые системы в прокси и VPN
Кампания, нацеленная на внутренних пользователей, использует легитимные инструменты удаленного доступа и сетевые утилиты. Они позволяют получить постоянный контроль над скомпрометированными системами и задействовать их в качестве прокси- или VPN-инфраструктуры. Метод первоначального вторжения остается неизвестным.
Установка Radmin Server
В зафиксированной активности PowerShell применял команду curl для загрузки архива. В него входили пакетный скрипт, файл реестра и компоненты Radmin.
Скрипт устанавливал Radmin Server в каталог C:\Intel\RServer и импортировал настройки с определенным портом Radmin и управляемыми злоумышленником учетными данными. Это обеспечивало удаленный доступ с использованием IP-адреса системы жертвы, настроенного идентификатора и пароля.
После подключения через Radmin злоумышленник выполнял дополнительные команды PowerShell для развертывания UltraVNC.
Развертывание UltraVNC
Скрипт установки создавал каталог C:\Windows\Fonts\web, пытался добавить исключения для антивирусной защиты, загружал файлы UltraVNC и запускал исполняемый файл с именем svchost.exe.
Если установить программу в качестве службы не удавалось, исполняемый файл регистрировался как служба WpnUserHost. Запланированная задача WpnUserHost_MutualWatchdog загружала и выполняла repair.ps1. Установщик также создавал дополнительную задачу, которая запускалась каждый час и выполняла функцию «сторожа».
Изначально установщик UltraVNC создавался с использованием PyInstaller, а в более поздних версиях был написан на языке Go. Встроенный компонент на Python выполнял следующие действия:
- устанавливал UltraVNC Server;
- добавлял правила брандмауэра;
- генерировал временные порт VNC и пароль;
- сохранял полученные данные в конфигурационных файлах.
Компонент взаимодействовал с сервером управления. Он отправлял имя узла и идентификатор машины, а затем получал сведения об устройстве, токен и пароль VNC. После этого злоумышленник мог подключиться к указанным IP-адресу и порту VNC для интерактивного управления системой.
Прокси и VPN-инфраструктура
В ходе кампании на скомпрометированных системах также устанавливались программное обеспечение прокси и VPN.
Netch-gateway поддерживал протоколы SOCKS5, Shadowsocks и KCP. Перед получением конфигурации прокси он регистрировал зараженный узел на сервере C&C.
В более ранних действиях использовался CCProxy, настроенный для предоставления SOCKS-прокси на порту 49661. В более поздних случаях устанавливался SoftEther VPN, благодаря чему скомпрометированная система могла функционировать в качестве VPN-сервера.
Возможная связь с операторами, говорящими на китайском языке
Комментарии на китайском языке, конфигурационные данные и инфраструктура прокси-сервиса указывают на возможную связь кампании с операторами, говорящими на китайском языке. При этом атрибуция и метод первоначального доступа остаются неопределенными.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
