REF2731 распространяет троян NETWIRE
В описанных кампаниях загрузчик PARALLAX распространяет RAT NETWIRE по пятиэтапной схеме. Две кампании связали по сходству приманок, макросов, промежуточных артефактов, тактик, техник и процедур, а также инфраструктуры. Активность не удалось однозначно атрибутировать конкретному злоумышленнику, хотя аналогичные техники в других исследованиях связывали с Evilnum и кампанией DarkCasino.
Загрузка компонентов и внедрение кода
Кампании, как правило, начинаются с документов Microsoft Word с макросами, посвящённых подаче налоговых деклараций в США. В макросах используется легитимный код GLPK, затрудняющий статический анализ. Затем макрос обращается к CreateObject, чтобы загрузить компоненты вредоносного ПО в каталог пользователя AppData.
Макрос запускает подписанную утилиту разработки Microsoft MsiDb.exe. Она загружает вредоносную DLL msi.dll или msvcr100.dll. DLL применяет обфускацию и динамическое разрешение API, а также проверяет имя процесса, требуя выполнения в контексте MsiDb.exe. Затем она загружает файл cs16.wav, извлекает из него встроенный ключ XOR, расшифровывает содержимое WAV-файла и запускает полученный шеллкод.
Шеллкод загружает чистую копию ntdll.dll из Windows и использует прямые системные вызовы, чтобы обходить хуки средств EDR и антивирусов в пользовательском режиме. С помощью Heaven’s Gate и нативных API, в том числе ZwAllocateVirtualMemory, ZwWriteVirtualMemory и ZwResumeThread, он внедряет код в приостановленный процесс cmd.exe.
Доставка полезной нагрузки и закрепление
На следующем этапе используется файл cs16.cfg, замаскированный под легитимный заголовок Python. В нём содержится имя или расположение файла paper.png. Если требуется, вредоносная программа загружает PNG через COM-интерфейс IBackgroundCopyManager. PARALLAX анализирует изображение, извлекает данные из байтов красных пикселей и распаковывает их с помощью LZMA.
Во встроенной конфигурации содержатся следующий этап PARALLAX и конечная полезная нагрузка. В рассматриваемых кампаниях в этой роли наблюдали NETWIRE. Оба компонента внедряются в другой приостановленный процесс cmd.exe.
На финальном этапе PARALLAX обходит UAC через COM-интерфейс CMSTPLUA и закрепляется в системе, создавая запланированную задачу. Задача запускает MsiDb.exe через COM. Затем выполняется NETWIRE, который устанавливает собственное закрепление и функции управления.
В общей инфраструктуре C2 NETWIRE использовался домен ohioohioa[.]com. Также зафиксированы домены ywiyr[.]com и septton[.]com.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
