XWorm: Модульный троян RAT для сложных цепочек поставок

XWorm: современный троян с широкими возможностями и гибкими методами обхода защиты

XWorm — это продвинутый троян для удаленного доступа (RAT), который приобрел популярность среди киберпреступников благодаря своему многофункциональному и модульному характеру. Его широкие технические возможности делают его одной из наиболее опасных угроз, особенно для цепочек поставок программного обеспечения и игровой индустрии.

Основные функции и область применения XWorm

Tроян XWorm предоставляет злоумышленникам следующие возможности:

• Кейлоггинг — перехват и запись нажатий клавиш;
• Удаленный доступ к рабочему столу;
• Эксфильтрация данных с зараженной системы;
• Выполнение команд, включая управление системой и загрузку файлов;
• Распространение через съемные носители;
• Поддержание работоспособности при перезагрузке и повышение привилегий.

Модульность XWorm и его адаптивность обеспечивают вредоносной программе гибкость, что позволяет киберпреступникам легко расширять функционал и адаптировать тактики под различные сценарии атак.

Тактика внедрения и сочетание с другими угрозами

XWorm часто развертывается в связке с другими вредоносными программами, например, AsyncRAT. Такое сочетание используется на ранних стадиях атаки и упрощает последующую доставку программ-вымогателей, связанных с известными группировками, включая LockBit.

Современные кампании с использованием XWorm демонстрируют развитие методов обхода систем обнаружения. Троян применяет многоступенчатую цепочку внедрения и загрузчиков, что позволяет динамически изменять и адаптировать методы доставки вредоносных компонентов.

Технические особенности и методы обхода антивирусных систем

XWorm поддерживает работу с разнообразными форматами и языками сценариев, что значительно осложняет обнаружение и анализ:

• PowerShell, VBS;
• Исполняемые файлы .NET;
• HTA-файлы и stagers на базе PowerShell;
• Другие форматы, применяемые для динамической загрузки и исполнения.

Для затруднения статического анализа вредоносная программа использует продвинутые методы обфускации кода. Также она внедряет изменения в среды безопасности Windows, в частности в AmsiScanBuffer() — критическую функцию Anti-Malware Scan Interface (AMSI).

Исправляя эту функцию в оперативной памяти, XWorm выполняет свой вредоносный код без запуска антивирусной защиты. Кроме того, он изменяет механизм трассировки событий Windows (ETW), что помогает скрывать свои действия и избегать регистрации в системных журналах безопасности.

Механизмы устойчивости и распространения

Для сохранения контроля над заражённой системой XWorm реализует ряд дополнительных механизмов:

• Создание ярлыков .lnk и изменения ключей реестра для автозапуска;
• Распространение через съемные диски — удаление копий и привлечение пользователей к запуску;
• Использование запланированных задач для повышения привилегий.

Взаимодействие с командно-диспетчерским сервером (C2)

После успешного выполнения XWorm устанавливает связь с сервером C2 и обрабатывает команды злоумышленников. Функционал взаимодействия включает:

• Выключение или перезагрузку системы;
• Загрузку и выполнение файлов;
• Организацию DDoS-атак и другие вредоносные операции.

Кроме того, XWorm собирает и отправляет техническую информацию о целевой системе, используя инструментарий управления Windows (WMI). Среди собранных данных — сведения об установленном антивирусном ПО и характеристиках аппаратного обеспечения, например, о графическом процессоре.

Заключение

Пример XWorm показывает, как современные RAT-комплексы развиваются в направлении максимальной маскировки и устойчивости. Гибкость методов доставки, сложные техники обхода и широкий функционал делают XWorm опасным инструментом в арсенале киберпреступников. Это подчеркивает необходимость применения многоуровневых систем защиты и своевременного реагирования на новые угрозы.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.