Злоумышленники распространяли PureRAT через фишинг с жалобами на доставку
Атакующие распространяли PureRAT через фишинговые письма, замаскированные под жалобы на повреждённые при доставке товары. В сообщениях были ссылки на якобы существующее видео с зафиксированным ущербом. Переход по сокращённой ссылке открывал поддельную страницу с видео, которая загружала ZIP-архив объёмом около 137 МБ через браузерный URL blob:. Такой способ встраивания данных в HTML маскировал источник загрузки в сетевых журналах.
В архиве находились легитимно подписанный исполняемый файл Microsoft Word, переименованный в Unboxing_Evidence_For_Dispute_Mp4.exe, вредоносный файл msvcr100.dll и другие файлы. Размер DLL увеличили примерно до 126 МБ, добавив служебные данные. По оценке исследователей, это могло помочь обойти ограничения сканирования антивирусными программами или песочницами. При запуске исполняемый файл Word загружал вредоносную DLL. Она расшифровывала команду, зашифрованную алгоритмом RC4 и скрытую в замаскированном PDF-файле, а затем запускала скрытый процесс командной строки. DLL также открывала документ-приманку, извлекала зашифрованный архив в общедоступный каталог Windows и запускала интерпретатор Python, переименованный в svchost.exe.
Загрузчик Python закреплялся в системе с помощью запланированной задачи, запускавшейся каждые пять минут, и механизмов запуска при входе в систему на основе реестра. Он также помечал каталог установки как скрытый и системный. Загрузчик изменял функцию AmsiScanBuffer, обходя сканирование AMSI, расшифровывал встроенную .NET-нагрузку с помощью операции XOR и размещал CLR в процессе Python. Это позволяло выполнить сборку в памяти без записи на диск. Дополнительный .NET-загрузчик расшифровывал PureRAT и загружал его в виде Tstviq.dll.
PureRAT взаимодействовал с сервером управления по протоколу TLS, используя самоподписанный сертификат X.509 и Protocol Buffers. Возможности вредоносной программы по краже информации включали извлечение данных из 15 расширений браузеров для криптокошельков, семи настольных приложений-кошельков и аккаунтов Telegram Desktop. В кампании также использовалась инфраструктура Google AppSheet.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
