Злоумышленники доставляли стилер через игровой лаунчер NIKKE
Неизвестные злоумышленники использовали легитимный игровой лаунчер NIKKE для доставки и запуска LuaJIT-стиллера, не изменяя бинарные файлы лаунчера. Для этого применялись серверный канал задач, позволявший передавать URL для загрузки во время выполнения, и мост JavaScript-to-native в Chromium Embedded Framework. Недавно зарегистрированный домен insightjs[.]com, указывавший на сервер в Исландии, служил для доставки вредоносной полезной нагрузки.
Загрузка и выполнение полезной нагрузки
Загрузчик сохранил файл размером 205 135 байт в каталоге журналов лаунчера, использовав стандартное соглашение об именовании файлов журналов. Несмотря на расширение .log, файл содержал очищенный байт-код LuaJIT 2.1. После того как виртуальная машина Lua лаунчера загрузила файл, был зарегистрирован вредоносный сервис k2f_chan.
Операторы могли передавать команды в формате JSON через уже существующий мост JavaScript. Код при этом выполнялся внутри подписанного процесса лаунчера. Анализ памяти выявил вредоносный код и строки в неподкреплённой куче памяти, а не в файлах или модулях лаунчера.
Сбор и передача данных
Площадка k2f-agent содержит 46 замаскированных модулей на Lua, в том числе команды оператора, бэкенды для Windows, этапы сбора данных и диспетчер. Она может искать в профилях Chrome, Edge, Opera и Firefox базы данных с учётными данными, файлы cookie и данные конфигурации браузера. Для Chrome поддерживается расшифровка учётных данных версии 10, зашифрованных алгоритмом AES-GCM с ключами, полученными через DPAPI. Также реализована поддержка механизма App-Bound Encryption в Chrome.
Дополнительные модули нацелены на криптовалютные кошельки, закрытые ключи SSH и PuTTY, связки ключей GPG, учётные данные Git, конфигурации Kubernetes, переменные окружения, историю командной строки, учётные данные NuGet и профили PowerShell. Собранные данные передавались через существующее зашифрованное телеметрическое соединение лаунчера и встраивались в поля расширений наряду с обычным трафиком контрольных сообщений. Вредоносная программа не открывала новых сокетов и использовала сетевую инфраструктуру лаунчера для эксфильтрации.
По имеющимся данным, загрузка, сбор и эксфильтрация заняли приблизительно от шести до десяти минут. Затем полезную нагрузку и размещённые базы данных удалили. Обнаружение могло произойти на этапе доставки URL или поведенческого выполнения. Сервер доставки впоследствии отключили; личности злоумышленников и способ их доступа остаются неизвестными.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
