VectraRAT предлагает удалённый доступ и кражу данных по аренде

VectraRAT, ранее не документированная платформа ВПО как услуга, доступна только по аренде. Ею управляет актор, ранее известный как Nyxel. Платформа включает сервер управления VectraHub на Go, панель оператора на Vue3, встроенную в бинарный файл сервера, и нативный имплант для Windows на C++. Имплант и сервер обмениваются данными через собственный протокол MessagePack-over-TCP, преимущественно по порту 3308. По всей видимости, VectraRAT разработали с нуля, а не создали на основе AsyncRAT, XWorm или QuasarRAT.

Возможности импланта и сбор данных

ВПО обеспечивает удалённый доступ к системам и кражу информации. В перечень возможностей входят:

• скрытый виртуальный сетевой компьютер HVNC;
• захват экрана;
• регистрация нажатий клавиш;
• выполнение команд CMD и PowerShell;
• двунаправленная передача файлов;
• перечисление процессов через WMI;
• проксирование SOCKS5;
• мониторинг буфера обмена и его замена на основе регулярных выражений;
• удалённый доступ к браузеру.

При первом подключении модуль автоматизированного сбора данных нацеливается на учётные данные браузеров Chromium, Firefox и Internet Explorer, активные сетевые соединения, а также файлы с расширениями .env, .conf и .config. Такие файлы могут содержать учётные данные, API-ключи и секреты инфраструктуры.

VectraRAT включает опцию обхода UAC на этапе сборки. Техника связана с методом 41 UACME и использует манипуляцию с объектами отладки. Имплант создаёт объект отладки через winver.exe, отсоединяет его и сохраняет. Затем он использует объект для отладки computerdefaults.exe, автоматически повышающего привилегии бинарного файла Windows. Имплант дублирует дескриптор процесса с повышенными привилегиями и запускает полезную нагрузку с токеном высокой целостности без одобрения со стороны пользователя.

Доставка и обнаруженные случаи

Среди зафиксированных методов доставки были:

• заражение через загрузчик Amadey;
• поддельные страницы верификации ClickFix с приманками в стиле TurboTax;
• использование имён исполняемых файлов, связанных с тематикой налогов.

Образцы Vidar и VectraRAT также использовали общую инфраструктуру и TCP-порт 3308. ВПО обнаруживали на системах жертв в Соединённых Штатах, России, Германии и других странах. Примерно 48 % зафиксированных записей о жертвах касались корпоративных редакций Windows, включая варианты Enterprise и Windows Server 2025.

На одном из скомпрометированных хостов с Windows Server 2025 зафиксировали множественные передачи файлов, выполнение команд и удаление вторичной полезной нагрузки. Эти действия указывают на возможную скоординированную кражу корпоративных данных.

Признаки обнаружения

К возможностям обнаружения относятся следующие признаки:

• мьютекс LocalVectra.Client.SingleInstance;
• файл %TEMP%\callback.json, содержащий callback: true;
• постоянные исходящие TCP-соединения на порт 3308;
• метаданные PE по умолчанию, включая «Product: Vectra» и версию 0.2;
• подозрительные последовательности вызовов отладочных API;
• скрытое выполнение PowerShell;
• запросы к процессам через WMI;
• всплески обращений к файлам конфигурации, содержащим секреты.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.