Троян ChainScript получает адрес сервера управления через смарт-контракт Polygon
ChainScript, троянскую программу удалённого доступа на базе Node.js, обнаружили в заражениях, связанных с активностью ClickFix. Она поддерживает выполнение команд, интерактивные сеансы с командной оболочкой CMD и PowerShell, работу с файлами, создание снимков экрана и развёртывание полезных нагрузок. В проанализированной сборке адрес панели управления находился через смарт-контракт в сети Polygon.
Заражение и закрепление в системе
Цепочка заражения обманом побуждала пользователей запускать msiexec.exe, который загружал вредоносный MSI-файл, замаскированный под легитимное программное обеспечение. В наблюдаемых сборках использовались приманки и имена, связанные со Spotify, Zoom Workplace и Microsoft Teams. Среди других названий были ComponentTask33, UpdateDigital, HostShared и OrchidViolet66.
MSI-файл устанавливает встроенную среду выполнения Node.js и запускает app/src/index.js через скрытые этапы на PowerShell и VBScript. В некоторых сборках среда выполнения, агент, конфигурация и вспомогательные инструменты размещались в каталогах с тематикой Microsoft в профиле пользователя.
Агент закрепляется в системе без прав администратора: создаёт запланированную задачу, которая запускается при входе пользователя, а в качестве резервного способа использует ключ HKCU Run. Идентификатор хоста формируется с помощью имени хоста и MachineGuid Windows. Агент также передаёт системные сведения на сервер управления по протоколу WebSocket.
Поиск панели управления
Для обнаружения сервера управления ChainScript использует метод в стиле EtherHiding. Он запрашивает у смарт-контракта Polygon адрес активной панели WebSocket, проверяет полученный адрес и кэширует его на пять минут. В проанализированной сборке применялся контракт 0xf9099d0d747368cce8C10226CC9AF2bFD4DDbCF4 с идентификатором цепочки 137. Агенты проходят аутентификацию с помощью заголовка X-Agent-Token.
Механизм поиска адреса позволяет операторам менять инфраструктуру бэкенда без повторного распространения импланта. Панели чаще всего использовали порт 3847, также наблюдались порты 3851 и 3854.
Возможности агента
Помимо выполнения команд и работы с файлами, ChainScript поддерживает обновления, очистку и инвентаризацию кошельков. Сканирование сообщает об установленных приложениях-кошельках и расширениях браузера.
Агент может пытаться получить с сервера JavaScript-код для дополнительных обработчиков команд. Проверенная конечная точка вернула ошибку, указывающую, что поддерживается только WebSocket.
Анализ не выявил специализированных функций для кражи фраз восстановления, закрытых ключей, паролей, файлов cookie или секретов, защищённых DPAPI. При этом общий доступ к файлам и оболочка троянской программы удалённого доступа могут позволить вручную собрать эти данные.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
