SHADOW-WATER-084 использует GraftLoader в цепочке доставки нагрузок

Группировка SHADOW-WATER-084, обозначенная в отчёте как Operation LoremDrop, применяет общую четырёхэтапную цепочку доставки в трёх кампаниях с несвязанными полезными нагрузками: неопознанным упакованным нативным стабом, Remcos RAT 7.2.5 и специально разработанным .NET RAT LXBASE.

Загрузка компонентов через растровые ресурсы

Приложения-приманки на .NET содержат загрузчики Stage 1 в виде необработанных данных пикселей, встроенных в растровые ресурсы. В отличие от обычной стеганографии, данные полезной нагрузки хранятся в каждом бите каждого цветового канала.

Извлечённые сборки Stage 1 восстанавливаются в памяти и рефлексивно загружают Stage 2. Промежуточные компоненты при этом не записываются на диск. Компонент Stage 2 под названием GraftLoader использует настраиваемый формат конфигурации из 43 полей. Он расшифровывает встроенные полезные нагрузки, при необходимости обеспечивает закрепление, добавляет исключения в Defender, выполняет обход контроля учётных записей с помощью cmstp.exe и запускает полезные нагрузки рефлексивно либо через внедрение в пустой процесс.

GraftLoader поддерживает внедрение в следующие цели:

• сам загрузчик;
• MSBuild.exe;
• vbc.exe;
• RegSvcs.exe.

API CreateProcessA, ZwUnmapViewOfSection, VirtualAllocEx, WriteProcessMemory и ResumeThread разрешаются динамически, а не импортируются напрямую.

Закрепление, исключения для Defender и контроль экземпляра

Все три сборки реализуют закрепление с помощью скрытой копии в каталоге данных приложений с перемещаемым профилем. Копия защищена ограничительными списками ACL. Дополнительно используется ключ Run реестра с полной командной строкой PowerShell.

Сброшенный скрипт PowerShell формирует строки с помощью арифметики кодов символов, косвенно вызывает Start-Process и содержит неиспользуемые рандомизированные переменные. В двух кампаниях выполняется Add-MpPreference, который добавляет путь к приманке в исключения проверок Microsoft Defender.

Сторожевой механизм использует именованный мьютекс и поток мониторинга процессов. Stage 1 содержит задержку на 19 004 миллисекунды, а одна конфигурация GraftLoader дополнительно включает трёхсекундную задержку.

Шифрование и возможности LXBASE

Финальная полезная нагрузка хранится в зашифрованном управляемом ресурсе. Расшифровка выполняется только в памяти с помощью нестандартного шифра XOR с автоключом и вычитанием.

LXBASE поддерживает туннелирование через обратный прокси-сервер, загрузку ZIP-плагинов во время выполнения, регистрацию нажатий клавиш и скрытые сеансы рабочего стола. Вредоносная программа также крадёт учётные данные и куки из многочисленных браузеров на основе Chromium и Firefox.

Для обхода Chrome App-Bound Encryption LXBASE вызывает интерфейсы browser elevator через жёстко заданные смещения vtable. Перед завершением работы вредоносная программа проверяет наличие средств анализа и отладчиков.

Общие структуры конфигурации, логика шифра, ошибки расшифровки, шаблоны PowerShell, цели внедрения в пустой процесс и идентичные неиспользуемые ресурсы связывают эти кампании с одним базовым набором инструментов.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.