VulkanInfo загружает вредоносную DLL для запуска VulcanRAT207.A
Атака начинается с доставки через WhatsApp ZIP*-архива и приводит к запуску VulcanRAT207.A непосредственно из памяти.
Загрузка и выполнение компонентов
В архиве находится Statement-846143734.exe, обёртка, сжатая алгоритмом NRV2E. При запуске она распаковывает и полностью восстанавливает в памяти настоящий загрузчик. Тот проверяет хост, анализируя:
- ресурсы аппаратного обеспечения, состояние дисплея и электропитания;
- журналы безопасности и индикаторы виртуализации и программного обеспечения;
- маркеры реестра и точки повторного анализа;
- процессы средств защиты Baidu.
Кроме того, загрузчик использует проверки на основе времени для противодействия эмуляции и сканирует точки входа API на наличие типичных перехватчиков в пользовательском режиме. Для повышения привилегий он пытается выполнить автоматическое повышение через COM с помощью моникера Elevation:Administrator!new:. Если это не удаётся, загрузчик вызывает функцию ShellExecuteW с глаголом runas.
Затем загрузчик внедряет шеллкод без импортов в процесс службы Планировщика заданий Windows, используя PoolParty Variant 7. Метод находит объект IoCompletion, записывает обратный вызов пула потоков в целевой процесс и ставит его в очередь с помощью ZwSetIoCompletion. Обратный вызов выполняется с токеном LocalSystem службы Планировщика заданий, поэтому последующие компоненты могут наследовать привилегии SYSTEM.
Внедрённый шеллкод отправляет HTTP-запрос POST на 61.18.208.27:8888 и применяет собственную защиту на основе XOR и RC4 к данным регистрации. Проверив ответ сервера и его фрейминг 0x0207, шеллкод выполняет загруженный пакет развертывания в памяти. Рефлексивный загрузчик декодирует пакет методом Хаффмана и вручную отображает DLL развертывания.
Закрепление и возможности VulcanRAT207.A
DLL запускает RAT непосредственно из памяти, устанавливает подписанный драйвер GoFly64.sys и использует IOCTL 0x12227A для завершения процессов bdservicehost.exe и bduserhost.exe. Затем она записывает в каталог C:\Program Files\Common Files файлы vulkaninfo-64.exe, вредоносную DLL vulkan-1.dll и файл vulkan-1.bin.
Для закрепления создаётся запланированная задача SYSTEM с именем USOPrivate Kit или USOPrivate. Легитимный исполняемый файл VulkanInfo, подписанный Intel, загружает DLL, контролируемую злоумышленником: он запрашивает vulkan-1.dll без указания полного пути. DLL считывает расположенный рядом контейнер vulkan-1.bin, восстанавливает конечный RAT и рефлексивно загружает его.
VulcanRAT207.A взаимодействует с тем же конечным узлом по WebSocket версии 13, используя собственный заголовок сообщения 0x0207. Его возможности включают разведку на уровне хоста и сети, доступ к журналам событий и их очистку, несколько методов внедрения кода в процессы, воздействие на средства защиты, а также установку драйвера ядра и закрепление под управлением оператора.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
* WhatsApp — мессенджер, принадлежит запрещённой в России и признанной экстремистской американской корпорации Meta.
