Вредоносная программа под видом шифровальщика оказалась пугаловкой
Модифицированный пакет KMS Auto стал наиболее ранним наблюдаемым событием и вероятным вектором первоначального доступа, однако имеющиеся доказательства не подтверждают, что именно он вызвал каждую связанную компрометацию. Финальная полезная нагрузка имитировала программу-шифровальщик, но работала как пугаловка, анализ не выявил в ней функций шифрования файлов. Метаданные и оформление указывают на возможную связь с APT36, однако атрибуция остаётся неподтверждённой.
KMS Auto представляет собой несанкционированную утилиту активации Microsoft, которую обычно распространяют через неофициальные репозитории программного обеспечения, торрент-сайты и платформы с пиратским ПО. Такие пакеты могут содержать вредоносные компоненты. На следующем этапе развернули и запустили XMRig, открытый майнер криптовалюты. Его присутствие указывало на активность после компрометации и позволяло злоумышленнику получать доход в фоновом режиме, расходуя системные ресурсы.
Через несколько часов в контексте вторжения установили и использовали ScreenConnect, легитимный инструмент удалённого доступа и управления. Позднее развернули MeshAgent, который, вероятно, обеспечивал резервный механизм удалённого управления или закрепления на случай удаления основного канала доступа. Активность в рамках инцидентов, по-видимому, повторялась с интервалами примерно в 12–24 часа, хотя эти временные рамки могли меняться.
Вредоносный файл разместили в каталоге автозагрузки для всех пользователей по пути %ProgramData%\Microsoft\Windows\Start Menu\Programs\Startup, что обеспечивало закрепление. Исполняемый файл назвали SecurityHealthServices.exe, чтобы имитировать компонент Windows Defender. При запуске он менял обои рабочего стола на флаг Пакистана и показывал постоянно присутствующее наложение в верхней части экрана с утверждением, что файлы жертвы заблокированы.
В метаданных полезной нагрузки упоминалось APT36 Transparent Tribe Pakistanware, а в оформлении использовался флаг Пакистана. Вредоносное ПО также добавляло дополнительное расширение .exe к исполняемым файлам, создавало скрытые копии себя в каталоге AppData и распространяло файл RECOVERY_README.txt. В записке не было требований выкупа, платёжных данных, адресов криптовалютных кошельков, сроков или инструкций по расшифровке.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
