Злоумышленники распространяли LegionLoader через ClickFix и поддельные CAPTCHA Cloudflare
ASEC выявила кампании с вредоносным ПО LegionLoader, в которых злоумышленники применяли технику ClickFix и поддельные страницы CAPTCHA от Cloudflare. Пользователям предлагали открыть диалоговое окно «Выполнить» в Windows или PowerShell и выполнить команду из буфера обмена. Команда загружала и запускала дополнительный код PowerShell.
Поддельная CAPTCHA и перенаправления
В одной из кампаний вредоносную ссылку разместили на южнокорейской странице NamuWiki под названием Sinhonhuimangtown. Ссылка маскировалась под официальный сайт. Другая кампания распространялась через электронные письма, имитировавшие инструкции по созданию и активации учётных записей во внутренней бизнес-системе организации.
В обоих случаях несколько перенаправлений вели на поддельную страницу CAPTCHA. Вместо обычной проверки Cloudflare страница инструктировала пользователя открыть диалоговое окно «Выполнить» в Windows или PowerShell, а затем выполнить команду, скопированную в буфер обмена. По оценке ASEC, такой сценарий позволяет злоумышленникам обходить обычные подозрения пользователей.
Инфраструктура распространения использовала несколько доменов, включая домены в зонах .monster и .cfd. Кратковременно наблюдался также домен в зоне .com. Загрузчик PowerShell скачивал защищённый паролем архив 7z, извлекал его содержимое и запускал LegionLoader в ходе многоэтапного процесса выполнения.
Работа LegionLoader и бэкдора
LegionLoader последовательно расшифровывает встроенные шеллкод и файлы PE, а затем использует встроенный загрузчик PE для выполнения конечного бэкдора. Вредоносное ПО выполняет проверки окружения по информации о дисплейных устройствах и ASN, связанному с внешним IP-адресом системы.
Бэкдор регистрирует информацию об узле на серверах управления и получает команды на загрузку или выполнение дополнительных полезных нагрузок. Он поддерживает выполнение следующих типов кода и файлов:
- нативных файлов PE;
- модулей во время выполнения;
- шеллкода;
- скриптов PowerShell;
- файлов MSI.
Вредоносное ПО может использовать внедрение кода в процесс explorer.exe и внедрение в пустой процесс RuntimeBroker.exe. Оно также поддерживает выполнение PowerShell после обхода AMSI.
Бэкдор обеспечивает закрепление, доступ к внешним URL-адресам и кражу данных браузера Chrome. В число собираемых данных входят Master Key, ключ шифрования, привязанный к приложению, App-Bound encryption key, а также сведения о профилях браузера, указанные C2-сервером.
Выявленная инфраструктура управления
В состав выявленной C2-инфраструктуры входили домены dallasbackstage[.]com и gemscocl[.]com. Среди использовавшихся путей ASEC указала /nfront.php и /nback.php.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
