StrikeStub распространяют с помощью социальной инженерии ClickFix

StrikeStub, модульный троянец удалённого доступа и похититель данных для Windows, распространяют через кампании социальной инженерии ClickFix. Жертву просят открыть окно Выполнить, вставить скопированную с вредоносной веб-страницы команду и запустить её.

Загрузка и маскировка StrikeStub

Скрытая команда PowerShell с помощью Invoke-WebRequest загружает Cloudflare.exe с сайта squidscript.com/, сохраняет файл в %TEMP%\svc.exe и запускает его через Start-Process. Вредоносная программа маскируется под легитимное ПО Windows: основная полезная нагрузка использует имя RuntimeBroker.exe, а компонент закрепления называется WindowsUpdate.exe. Для этого также применяются поддельные манифесты и вводящие в заблуждение метаданные.

Большинство строковых литералов шифруется при компиляции процедурой на основе XOR. Она использует множитель 0x9e3779b9 и 16-битные константы для каждой строки. При анализе восстановили строки, связанные с протоколом управления и контроля (C2), механизмами закрепления и кражей учётных данных.

Связь с операторами и функции

StrikeStub взаимодействует с операторами по протоколу WebSockets, используя API WinHTTP WebSocket и прямое соединение Winsock. В заголовке User-Agent передаётся значение StrikeStub/1.0. Имя узла и порт C2 в изученном бинарном файле не встроены: они поступают из конфигурации во время выполнения или из сопутствующей полезной нагрузки. Протокол предусматривает регистрацию и обмен по схеме вызова и ответа.

Модульное наблюдение, кража данных из браузеров, закрепление, возможности компонента-биндера и настраиваемый канал WebSocket C2 соответствуют семейству троянцев удалённого доступа, созданных с помощью конструктора или работающих по модели «вредоносное ПО как услуга».

В состав троянца входят независимо активируемые модули для:

• регистрации нажатий клавиш;
• захвата изображения с веб-камеры;
• потоковой передачи рабочего стола в реальном времени;
• скрытого VNC;
• мониторинга буфера обмена;
• кражи учётных данных из браузера.

Скрытый VNC создаёт невидимый виртуальный рабочий стол. Операторы могут взаимодействовать через него с сессиями, не показывая активность на физическом экране жертвы; для систем с несколькими мониторами доступен выбор дисплея. Мониторинг буфера обмена может использоваться для наблюдения за адресами криптовалютных кошельков или их подмены. Компонент-биндер способен встраивать и запускать дополнительные полезные нагрузки.

При краже учётных данных вредоносная программа нацеливается на браузеры на базе Chromium, включая Chrome и Brave, вероятно, используя данные, защищённые DPAPI. Она также атакует Firefox: перед доступом к базам SQLite с файлами cookie и данными для входа программа может клонировать профиль браузера, обходя блокировки файлов, вызванные работающим браузером.

Динамическое разрешение API с помощью LoadLibraryA и GetProcAddress может скрывать дополнительные функции от статической таблицы импортов.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.