Злоумышленники распространяли Rapuncel и драйвер, завершавший процессы средств защиты
LastPass TIME и Delphos выявили кампанию по распространению ВПО как услуги. Для имитации не менее 40 компаний, включая LastPass Authenticator, злоумышленники использовали оптимизированные для поисковой выдачи организации GitHub и страницы GitHub Pages. Жертв перенаправляли через несколько аккаунтов GitHub Pages и защищённый Cloudflare трафик-директор istatlmenus[.]com/mandua.wonted, который динамически предоставлял инфраструктуру для конечных полезных нагрузок.
Загрузка ВПО и действия драйвера
Злоумышленники распространяли большие ZIP-архивы, обычно размером более 100 МБ. В них находились файлы-заполнители, предназначенные для обхода ограничений автоматического сканирования, а также переименованный отладчик Microsoft vsdbg.exe. Он загружал вредоносный файл vsdbg.dll.
Загрузчик применял несколько техник повышения привилегий в Windows, чтобы получить права SYSTEM, и устанавливал драйвер ядра nvfsflt64.sys, замаскированный под компонент NVIDIA. Имя службы драйвера, NvFsFilter. Драйвер, отслеживаемый под именем Alinubx.sys, связан с семейством драйверов Henan Dafeng CnCrypt/CcProtect и имел подпись Microsoft hardware-compatibility.
Драйвер предоставлял IOCTL 0x222024, через который загрузчик мог передавать идентификаторы процессов для завершения. ВПО содержала 145 названий процессов антивирусных программ и средств защиты конечных точек. Драйвер принудительно завершал соответствующие процессы из режима ядра. На момент анализа драйвер не входил в список уязвимых драйверов Microsoft, подлежащих блокировке.
Кража данных и связи с другими инструментами
Стиллер пользовательского режима Rapuncel собирал сохранённые учётные данные как минимум из 19 браузеров и более чем 30 криптовалютных кошельков, а также из Discord, Steam, Telegram и Диспетчера учётных данных Windows. Внедрённый браузерный помощник вызывал функции расшифровки Chrome или Edge внутри процесса браузера, обходя защиты, связанные с привязкой к приложению.
Rapuncel искал файлы, связанные с паролями, кошельками, сидами и фразами восстановления, делал снимки экрана и собирал сведения о хосте. Полученные данные стиллер сжимал в ZIP-архив и загружал по адресу 2.26.126.50/upload с использованием трафика, похожего на HTTP. Для закрепления в системе он использовал Службу Windows, периодически проверял систему и принудительно завершал процессы средств защиты.
Драйвер также содержал неиспользуемые возможности для сокрытия файлов и записей реестра, перехвата DLL и процессов, перенаправления трафика и внедрения DLL в пользовательском режиме. Аналитики связали загрузчик с криптером Cruciferra PUROSANGUE по реализации NativeAOT, боковой загрузке DLL, обходу UAC, хранению полезной нагрузки в секции .reloc и списку из 145 процессов средств защиты. Связь Rapuncel с экосистемой BoryptGrab по поведенческим признакам и артефактам оценили со средней степенью уверенности.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
