Злоумышленники используют Obsidian для доставки PHANTOMPULSE
Elastic Security Labs отслеживала REF6598, целенаправленную кампанию социальной инженерии против представителей финансового сектора и сферы криптовалют. Злоумышленники представлялись в LinkedIn сотрудниками венчурных фондов, затем переводили общение в Телеграм и убеждали жертв получить доступ к облачному хранилищу Obsidian, которое контролировали атакующие и выдавали за бизнес-базу данных. После включения синхронизации плагинов сообщества легитимный плагин Shell Commands при запуске Obsidian выполнял команды, заданные атакующими в файлах JSON. Также, по сообщению исследователей, использовался плагин Hider. Техника задействует функциональность доверенного приложения, а не уязвимость программного обеспечения, и запускает оболочки или PowerShell из Obsidian.
Загрузка вредоносного ПО в Windows и macOS
В Windows начальная команда загружает с IP-адреса, заданного в коде, PowerShell-скрипт второй ступени. Он использует BITS для получения дополнительного бинарного файла и сообщает операторам статус загрузки. Загрузчик PHANTOMPULL третьей ступени расшифровывает PHANTOMPULSE и рефлексивно загружает его в память.
PHANTOMPULL использует зашифрованные встроенные ресурсы, разрешает API во время выполнения, выполняет обратные вызовы через очередь таймеров, применяет синхронизацию на основе мьютексов и логику противодействия анализу, а для связи использует WinHTTP. Загрузчик расшифровывает URL C2 и отправляет по HTTPS запрос /v1/updates/check?build=payloads, а затем расшифровывает полученную полезную нагрузку с помощью XOR.
PHANTOMPULSE представляет собой 64-разрядный троян удалённого управления для Windows. Он поддерживает скрытность, закрепление, выполнение команд и внедрение кода в процессы, в том числе с помощью подмены модуля или секции.
Цепочка для macOS использует команды Obsidian Shell для запуска обфусцированного AppleScript через osascript. Выполнение скрипта связано с LaunchAgent. Он проверяет заранее заданные доменные имена и, если они недоступны, обращается к каналу в Телеграм за резервным доменом C2. Затем скрипт загружает следующий этап на AppleScript и немедленно выполняет его.
Инфраструктура C2 и обнаружение
Инфраструктуру C2 преимущественно определяют через API блокчейн-обозревателей, совместимых с Ethereum. Модуль получает последнюю транзакцию для жёстко заданного кошелька, декодирует входные данные транзакции и расшифровывает их с помощью XOR, чтобы получить URL сервера C2 по HTTP. Отправитель транзакции не проверяется. Злоумышленник или защитник, знающий адрес кошелька и метод кодирования, может отправить более новую транзакцию и перенаправить заражённые системы на sinkhole или альтернативный сервер.
Для обнаружения исследователи предлагают отслеживать запуск PowerShell, Bash, Zsh и других оболочек из Obsidian, а также выявлять PHANTOMPULL и PHANTOMPULSE с помощью предоставленных сигнатур YARA.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
