Три кампании ВПО нацелились на пользователей Бразилии и Португалии

Исследователи проанализировали три кампании вредоносного ПО, нацеленные главным образом на пользователей в Бразилии и Португалии. В качестве приманок злоумышленники использовали юридические уведомления, финансовые документы и страницы загрузки, оформленные как счета-фактуры.

Кампания Overlord RAT

Фишинговые письма в кампании Overlord RAT имитировали уведомления бразильских нотариусов, оформляющих протесты. Ссылки с действительными идентификаторами бразильских компаний вели к вредоносным файлам VBS. Те загружали исполняемые файлы EXE или MSI.

Скрипты скрывали URL-адреса и команды с помощью кодирования Chr(), конкатенации строк и комментариев на португальском языке. Полезные нагрузки загружались с Dropbox или Google Cloud Storage с помощью команды curl; резервным способом служил PowerShell. Пакетные скрипты пытались добавить исключения в Microsoft Defender и хранили компоненты, среди прочего, в каталоге C:\ProgramData\Microsoft\Windows\WER, имитируя работу Windows Error Reporting.

Вредоносное ПО создавало запланированные задачи, проверяло наличие артефактов VMware и VirtualBox и загружало зашифрованные данные с шеллкодом Donut x64. Полученная полезная нагрузка взаимодействовала с инфраструктурой Overlord RAT по адресам 191.96.225.125 и 45.158.8.213. В некоторых вариантах MSI применялась подмена DLL с использованием легитимных файлов ngentask.exe или vlc.exe.

Распространение Lampion

Lampion распространялся через фишинговые письма с ZIP-архивами. В недавних образцах HTML-файлы содержали ссылки на нагрузки VBS, размещённые в AWS S3 или Google Drive. Названия файлов и приманки на португальском языке напоминали кампанию Overlord.

Lampion работал как банковский троян с возможностями удалённого доступа (RAT). Он использовал инфраструктуру управления, расположенную в России; зафиксированные жертвы находились преимущественно в Португалии.

Доставка через ISO-образ

В третьей кампании сайт на португальском языке имитировал страницу со счётом на оплату и предлагал пройти поддельную CAPTCHA. С его помощью распространялся ISO-образ с обфусцированным VBS-файлом, легитимным файлом VMware vnetlib.exe, вредоносной DLL и файлом определения для подмены DLL.

DLL на языке Pascal экспортировала функцию RunAgent. Она создавала мьютекс, делала снимки экрана в полном разрешении, генерировала идентификатор бота и закреплялась в системе через запись в реестре HKCU, запускавшую легитимный исполняемый файл. DLL устанавливала соединение с 148.224.62.243:7777 и выполняла команды, отправленные C2-сервером.

В ходе кампаний злоумышленники также использовали следующие приёмы:

• обфусцировали скрипты;
• размещали полезные нагрузки в облачных хранилищах;
• вмешивались в работу средств защиты;
• закреплялись в системе через запланированные задачи или реестр;
• применяли подмену DLL;
• проверяли наличие виртуальных машин;
• использовали легитимные исполняемые файлы, чтобы скрывать выполнение и обходить обнаружение.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.