Вероятно, загрузчик связан с Equation Group и маскируется под ncobjapi.dll

Образец DLL 2023 года с высокой вероятностью связан с Equation Group или с аффилированным с ней подразделением NSA либо альянса «Пять глаз». Файл маскируется под компонент Windows ncobjapi.dll и работает как прокси-DLL: десять экспортируемых функций перенаправляют вызовы в легитимную библиотеку. Хеш образца: e50923a0449596a2fce81a3538de2e58c7e623bd0a7e36f54a13e88ebcd79e46.

По имеющимся данным, загрузчик использует порядок поиска DLL в каталоге WBEM для получения выполнения. Процесс WMI Provider Host wmiprvse.exe и другие компоненты WBEM загружают ncobjapi.dll, поэтому вредоносная копия в том же каталоге может служить механизмом закрепления и выполнения.

После загрузки DLL проверяет, есть ли wmiprvse.exe в командной строке, и равен ли нулю идентификатор текущего потока. Если соблюдены оба условия, библиотека перечисляет потоки процессов и приостанавливает последний обнаруженный поток, кроме собственного. Назначение этого действия неизвестно. Затем DLL создаёт поток для выполнения полезной нагрузки и очищает данные, ориентируясь на код её возврата.

В реализации обнаружены несоответствия. Экспортные функции указывают на ncobjapi.dll, а не на wmi2xml.dll, при этом их имена соответствуют ожидаемым для wmpshell.dll. Эти несоответствия могут мешать работе предполагаемых функций или самоудалению и, возможно, объясняют обнаружение образца в публичном доступе. По имеющимся данным, загрузчик пытается удалить себя после перезагрузки с помощью функции MoveFileExW и флага MOVEFILE_DELAY_UNTIL_REBOOT. Исследователям не удалось установить природу полезной нагрузки и причину приостановки потока.

Для обнаружения можно искать неподписанные DLL с именем ncobjapi.dll в каталогах WBEM и других системных каталогах Windows, а также неожиданные неподписанные модули, загруженные вместе с легитимной библиотекой. В качестве ещё одного признака указаны файлы вроде MAPPING0.DAT. Расследователи могут анализировать телеметрию конечных точек, чтобы выявлять создание и удаление файлов: загрузчик может быстро удалять файлы. В отчёте также приведено YARA-правило, которое учитывает выбранные строки, связанные с криптографическими и файловыми операциями, формат PE и ограничение размера.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.