SideWinder, предположительно, нацелилась на Пакистан через ClickOnce
Описаны две цепочки доставки вредоносного ПО, нацеленные на Пакистан и предположительно используемые группировкой APT SideWinder. Приманки с государственной тематикой имитировали Управление по закупкам для нужд обороны Пакистана (Directorate General of Defence Purchases), Национальную телекоммуникационную корпорацию, Военное финансовое управление и государственные структуры провинции Хайбер-Пахтунхва.
Первая цепочка запускала VS Code Remote Tunnel
Приложение ClickOnce запускало подписанный бинарный файл Microsoft PerfWatson2.exe. Вредоносный файл конфигурации указывал .NET-рантайму загрузить контролируемый атакующим AppDomainManager. Это позволяло выполнить код до запуска логики легитимного приложения.
Написанная на Rust DLL полезной нагрузки экспортировала имена API темизации Windows и проверяла, запущена ли она внутри PerfWatson2.exe. Затем DLL скачивала официальную CLI-версию Visual Studio Code от Microsoft, переименовывала и скрывала её в скрытом каталоге профиля пользователя, а переменную VSCODE_CLI_DATA_DIR настраивала на использование этого расположения.
После аутентификации вредоносное ПО устанавливало VS Code Remote Tunnel в качестве службы Windows. Это обеспечивало закрепление и канал управления (C2) через легитимную инфраструктуру Microsoft и vscode.dev.
Во второй цепочке использовался имплант Havoc
Пакет ClickOnce запускал dfsvc.exe с аргументом /NGenTask. Подмена порядка поиска DLL приводила к тому, что подписанный бинарный файл Microsoft загружал вредоносную mscorsvc.dll вместо легитимной системной библиотеки.
DLL выступала загрузчиком шеллкода: она расшифровывала полезную нагрузку, зашифрованную алгоритмом ChaCha20 и сохранённую в файле win.ini. Загрузчик менял права доступа к памяти, выполнял шеллкод и рефлексивно отображал встроенный имплант Havoc Demon в память.
Имплант Havoc использовал конечную точку Cloudflare Workers, оформленную под телекоммуникационную инфраструктуру Пакистана. Его трафик имитировал Microsoft Teams с помощью HTTP-заголовков и URI-путей, напоминающих конечные точки Microsoft Exchange Web Access и OAuth-аутентификации. Для внедрения имплант нацеливался на процессы notepad.exe.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
