Загрузчик Trojan.Loader.3261 распространяется через GitHub
Модульный загрузчик Trojan.Loader.3261 распространяется через репозитории GitHub и нацелен на пользователей криптоигр и специалистов по информационной безопасности. Он выполняется в три этапа, использует файлы-маркеры для закрепления, а мьютексы mutexone и mutex23, содержащие идентификатор процесса и время создания, обеспечивают однократное выполнение первых двух этапов.
Сбор данных и закрепление
На первом этапе Trojan.Loader.3261 записывает конфигурацию в каталог C:\Users\Public\Music\config, загружает защищённый паролем архив Nexara.7z, расшифровывает его с помощью AES-256-CTR и извлекает вспомогательную полезную нагрузку и данные конфигурации в общедоступные каталоги Windows. Архив загружается через легитимные сервисы или домены, контролируемые злоумышленниками.
Загрузчик собирает сведения о системе и передаёт их через бота в Telegram. В их числе:
- скриншоты и IP-адрес;
- геолокация, сведения о процессоре и видеокарте, объём оперативной памяти и версия Windows;
- имя пользователя, установленные антивирусные продукты, статус Defender и статус UAC.
Для закрепления в системе загрузчик создаёт запланированные задачи WindowsUpdate или RegisterDeviceManagement и ключи запуска в реестре. Если у него есть административные привилегии, он создаёт запланированные задачи с повышенными правами. Для повышения привилегий применяются COM-подмена на основе реестра и обход UAC через computerdefaults.exe.
Отключение защиты и запуск полезных нагрузок
На втором этапе загрузчик отключает или ослабляет защиту Windows Defender и UAC, уведомления, уведомления брандмауэра Windows, Volume Shadow Copy и System Restore. Он добавляет исполняемые файлы и каталоги в исключения Defender и удаляет имеющиеся теневые копии.
Вредонос запускает полезную нагрузку в нескольких режимах выполнения. Они могут включать подмену PPID, модификацию Smart App Control, прямые системные вызовы через Halo’s Gate, снятие перехватов с ntdll.dll, а также изменение ETW и AMSI в памяти. Загрузчик расшифровывает полезные нагрузки и внедряет их в процессы RegAsm.exe, dwwin.exe и dwm.exe.
Среди внедряемых полезных нагрузок есть варианты AsyncRAT для удалённого доступа и Trojan.InjectNET.14, доставляющий Trojan.Clipper.688. Стиллер заменяет адреса криптокошельков в буфере обмена и отправляет скриншоты и данные о жертве в Telegram. Загрузчик также запускает JS.Stealer.191 и поддерживает свои компоненты проверками конфигурации и соединения с C2, загрузками и обновлениями.
Кроме того, загрузчик может удалять выбранные антивирусные продукты и изменять файл hosts Windows, блокируя домены поставщиков средств защиты.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
