Злоумышленники маскируют трояны и стирающее ПО под копии GTA6

Злоумышленники распространяют вредоносное ПО под видом утёкших копий Grand Theft Auto VI (GTA6). Подлинную утёкшую или играбельную версию игры обнаружить не удалось. Проанализированный ISO-образ устанавливает несколько троянов удалённого доступа, стиллер Mercurial Grabber и деструктивное шифровальное ПО Chaos.

Как распространяются поддельные копии GTA6

Для продвижения вредоносных ISO-файлов злоумышленники используют:

• отравление поисковой оптимизации (SEO);
• игровые форумы;
• торрент-сайты;
• социальные сети.

Размер некоторых ISO-файлов превышает 100 ГБ. Большую часть их содержимого занимают мусорные данные, которые должны сделать объём образов сопоставимым с размером легитимной игры класса AAA.

Внутри проанализированного образа находится поддельный установщик gta6installer.exe с иконкой GTA5. Он сообщает, что установка может завершиться ошибкой из-за отсутствия лицензии на игру. При запуске файлы извлекаются в каталог %TEMP%.

Пакетный скрипт проверяет подключение к Интернету. Для этого он запускает Microsoft Edge и обращается к URL, размещённому через clck.ru. Затем компоненты вредоносного ПО распаковываются и выполняются.

Трояны удалённого доступа и сбор данных

Пакет развёртывает несколько троянов удалённого доступа, включая несколько образцов NJRAT и DCRAT. Экземпляры NJRAT создают правила брандмауэра Windows и взаимодействуют с инфраструктурой, размещённой в AWS, а также с туннелем ngrok.

DCRAT устанавливается в пользовательском каталоге Windows под случайно сгенерированным именем файла. Он подключается к домену злоумышленников a0700877.xsph.ru по адресу 141.8.197.42. Вредоносное ПО предоставляет злоумышленникам полный контроль над скомпрометированными системами.

Стиллер Mercurial Grabber разворачивается в виде файла adminapp.exe. Он собирает конфиденциальную информацию с заражённой системы и передаёт её через веб-хуки Discord.

Установщик также развёртывает Yandex Browser. По оценке авторов отчёта, это может указывать на нацеливание на пользователей из России или Восточной Европы.

Деструктивные функции Chaos и меры реагирования

В ISO-образ включено шифровальное ПО Chaos. Оно работает как деструктивный инструмент стирания, а не как средство шифрования с финансовой мотивацией. При запуске с правами администратора Chaos выполняет следующие действия:

• отключает механизмы восстановления;
• удаляет теневые копии томов;
• изменяет параметры конфигурации загрузки;
• меняет обои рабочего стола.

Файлы размером 200 МБ и менее шифруются алгоритмом AES со случайно сгенерированным паролем. Файлы большего размера перезаписываются случайными данными. Вредоносное ПО нацелено на несистемные диски, каталоги пользовательских данных и общих данных, а также на расположения OneDrive.

Компоненты вредоносного ПО, по всей видимости, в значительной степени устарели и были переиспользованы. Обновлённая версия Windows Defender может обнаруживать их.

Авторы отчёта рекомендуют для скомпрометированных систем:

• изолировать их;
• сбросить учётные данные и включить двухфакторную аутентификацию (2FA);
• полностью пересоздать образ системы.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.