В Intune развернули поддельный сетевой сканер с бэкдором EtherRAT
Расследование цифровой криминалистики и реагирования на инциденты выявило заражение EtherRAT, доставленного через поддельный установщик Advanced IP Scanner. Вредоносный MSI-файл импортировали в Microsoft Intune под видом легитимного пакета версии 7.5.12.0 и незаметно развернули на четырёх конечных точках. Intune не был скомпрометирован: угроза возникла из-за несанкционированного импорта и развёртывания установщика.
Поддельный установщик и запуск EtherRAT
Заражение началось после того, как пользователь ввёл в Bing запрос «advanced ip scanner msi» и перешёл по ссылке на поддельный репозиторий GitHub, который выдавал себя за официального дистрибьютора. Для развёртывания пакета использовались механизмы установки MDM, в том числе MDMAppInstaller.exe и omadmclient.exe.
Установщик записал обфусцированный скрипт PowerShell в каталог со случайным именем внутри %LOCALAPPDATA%. Скрипт загрузил или повторно использовал легитимный рантайм Node.js, переименованный в FbtRYX8x.exe, и запустил с его помощью обфусцированный JavaScript из файла DdkExG1tIy.ini. Переименованный бинарный файл Node.js связывался с несколькими публичными провайдерами Ethereum RPC, чтобы получать конфигурацию управления из смарт-контрактов. Блокчейн в этой схеме служил механизмом передачи данных. Такое поведение соответствовало бэкдору EtherRAT на базе Node.js.
Сбор данных и другие вредоносные пакеты
EtherRAT собирал сведения о локали Windows, установленном программном обеспечении для защиты, графическом процессоре (GPU), членстве в домене, Machine GUID, логических дисках и сетевых данных. Вредоносное ПО также перечисляло сетевые сессии и соединения с помощью команд net session и net use.
Для создания снимков экрана EtherRAT использовал PowerShell и компоненты .NET, в том числе System.Windows.Forms и System.Drawing. Изображения кодировались в Base64 и сохранялись во временный файл ss_1790589100185.txt в каталоге %LOCALAPPDATA%.
Следователи обнаружили ещё один репозиторий GitHub с вредоносным MSI-файлом Advanced IP Scanner. Его SHA-256-хеш: 48ce8681167128a8cd84b6befd98b94d97c00a4f4868a3dbdfc01c44d887e49f, версия пакета 2.5.4594.1. Тот же аккаунт размещал репозитории, имитировавшие другие административные утилиты.
Авторы отчёта описывают кампанию как отравление поисковой выдачи (SEO) и использование мошеннических репозиториев для атак на администраторов с помощью троянизированных инструментов. В отчёте также говорится, что платформы развёртывания программного обеспечения, такие как Intune, могут усиливать распространение вредоносных пакетов, когда те принимают за доверенные приложения.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
