VMLoader и SectopRat получают адреса через смарт-контракты

Цепочка заражения начинается с ZIP-архива, замаскированного под легитимный установщик программного обеспечения. В ней задействованы VMLoader и GPULoader, а адреса загрузки и управления получаются через смарт-контракты в Binance Smart Chain (BSC). Некоторые архивы также содержат FakeGuard, который перехватывает выбранный веб-трафик.

Загрузка и запуск вредоносных компонентов

В архиве находятся переименованный подписанный исполняемый файл и вредоносная библиотека libcef.dll под названием VMLoader. Он проверяет графическое оборудование и завершает работу, если обнаруживает программный рендеринг, несколько известных поставщиков графических процессоров для виртуальных машин, недостаточный объём VRAM или необычно короткие имена адаптеров. Затем VMLoader расшифровывает байт-код для собственной виртуальной машины, запрашивает у смарт-контракта в BSC URL для загрузки и запускает исполняемые файлы из полученного архива.

В этом архиве могут находиться GPULoader и зашифрованная полезная нагрузка SectopRat. GPULoader повторяет проверки графического оборудования и с помощью шейдеров D3D11 расшифровывает сопутствующую полезную нагрузку на графическом процессоре. Для этого он использует ту же собственную виртуальную машину, что и VMLoader. Его байт-код включает обход AMSI с применением векторного обработчика исключений и аппаратной точки останова, а также загрузчик .NET, который выполняет полезную нагрузку в памяти.

GPULoader устанавливает файлы в каталог профиля Cisco AnyConnect и создаёт запланированную задачу MicrosoftCompatibilityAppraiser. Для дополнительного закрепления он использует ключ реестра Run.

Возможности SectopRat и FakeGuard

SectopRat получает адрес управления через отдельный контракт BSC, используя зашифрованные значения конфигурации. Его возможности включают:

• кражу учётных данных браузеров, файлов cookie, платёжных данных, данных приложений для обмена сообщениями, информации о криптовалютных кошельках и учётных данных VPN;
• сбор системной информации;
• удалённое управление для доступа к командной строке, файлам, процессам и экрану, а также регистрацию нажатий клавиш.

Некоторые архивы кампаний содержат FakeGuard. Он устанавливает локальный центр сертификации и прокси-сервер, а затем перехватывает выбранный веб-трафик. FakeGuard может внедрять JavaScript в страницы банковских сервисов, красть данные сессий и изменять платёжные реквизиты. Его конфигурация также нацелена на домены криптовалютных сервисов и домены программного обеспечения для защиты или обновлений Windows.

Среди индикаторов, выявленных в ходе расследования:

• вредоносные файлы tempdir.dll, sslconf.exe и зашифрованный сопутствующий файл в папке профиля Cisco AnyConnect;
• каталог SiteGuard в %LOCALAPPDATA%;
• сертификат PC Site Guard Local CA;
• локальный прокси-сервер на порту 8877;
• трафик разрешения BSC с систем, не связанных с криптовалютами, и имена исполняемых файлов с кириллическими гомоглифами.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.