Усложнение методов кибератак: анализ кампании VenomRAT
Современные хакеры все чаще прибегают к сложным методам доставки вредоносных программ, избегая при этом детекции. Одним из явных примеров подобной тактики является кампания VenomRAT, демонстрирующая новые подходы в киберпреступности.
Стратегия фишинга и методы заражения
Кампания VenomRAT начинается с фишингового электронного письма, в котором жертвы заманиваются предложением о покупке. В письме содержится архивное вложение, при извлечении которого появляется файл образа виртуального жесткого диска (.vhd). При его открытии файл монтируется как жесткий диск и включает в себя пакетный скрипт. Этот скрипт предназначен для выполнения вредоносных действий с использованием PowerShell.
Технические аспекты атаки
Основные функции данного скрипта заключаются в передаче конфиденциальной информации на серверы управления (C2). Ключевыми аспектами атаки являются:
- Использование методов кодирования и внедрения в Base64.
- Запись конфиденциальных данных, включая нажатия клавиш.
- Создание вредоносной копии в каталоге профиля пользователя.
- Изменение системных реестров для облегчения своих действий.
Скрытность и устойчивость VenomRAT
Важным элементом кампании VenomRAT является его способность скрываться от обнаружения. Атака использует Pastebin.com для сокрытия сервера C2, что усложняет отслеживание коммуникаций. Когда пакетный файл выполняется в среде PowerShell, создается исполняемый файл, скомпилированный в .NET, который:
- Поддерживает сетевые функции вредоносного ПО.
- Проводит необходимые системные проверки.
- Использует шифрование AES для безопасной обработки данных.
Выводы и рекомендации
Наличие конфигурационного файла VenomRAT указывает на использование служб HVNC, что подчеркивает повышенный уровень сложности, свойственный троянам удаленного доступа (RATs). Использование ключей AES для целей дешифрования дополнительно свидетельствует о скрытности и устойчивости вредоносного ПО. Организациям следует обратить внимание на свои системы безопасности, чтобы предотвратить подобные атаки в будущем.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
