AtlasRAT се разпространява чрез фалшив инсталатор на Flash Player, който изглежда безопасен, но може да даде на атакуващите отдалечен контрол над компютър с Windows.

Кампанията злоупотребява с познато име на софтуер, за да приспи бдителността на жертвата, след което зарежда голяма част от своя злонамерен код директно в паметта, където е по-трудно да бъде засечен от традиционните проверки, базирани на файлове.

Заплахата подчертава как старите софтуерни марки все още помагат на престъпниците да подвеждат потребителите да стартират вредни файлове.

Подобни кампании с фалшиви софтуерни инсталатори показват, че атакуващите продължават да маскират зловреден код като доверени приложения, актуализации и изтегляния, тъй като тази тактика остава ефективна.

Анализаторите от ASEC идентифицираха зловредния софтуер като AtlasRAT – инструмент за отдалечен достъп за Windows, който използва четиристепенна верига за зареждане, започваща с Delphi приложение, маскирано като „AGE Flash Player“.

В доклад, споделен с „Cyber Security News“ (CSN), ASEC заявява, че зловредният софтуер може да комуникира със своите оператори чрез шифровани връзки, да изпълнява допълнителни модули, да прихваща натискания на клавиши и да инжектира код в процесите на WeChat.

Въздействието на успешно заразяване може да се простира далеч отвъд първоначалното изтегляне. AtlasRAT дава на оператора опорна точка за инспектиране на системата, извличане и изпълнение на още файлове, идентифициране на активни процеси и потенциално запазване на достъпа след рестартиране на устройството от страна на потребителя.

Фалшив инсталатор на Flash Player използва сертификат с тема на Microsoft

Заразяването започва с „FlashPlay.Exe“ – програма, проектирана да изглежда като инсталатор на Flash Player.

Вместо да инсталира легитимен софтуер, тя действа като товарач, който възстановява шифровани части от код и подготвя модул за изтегляне, който да извлече следващия етап от контролирана от атакуващите инфраструктура.

Този модул за изтегляне се картографира ръчно в паметта и извиква „ServiceRun“, което в крайна сметка води до финалния злонамерен код „MainDll.Dll“.

Този подход намалява видимите следи, които обикновено се оставят при конвенционална инсталация, и помага на операторите да поддържат веригата гъвкава, докато актуализират компонентите.

Финалният злонамерен код съдържа самоподписан сертификат с името „CN=update.Microsoft.Com“, което придава на неговата шифрована връзка вид, свързан с Microsoft.

Това не е доказателство за издаден от Microsoft сертификат, но може да направи подозрителния трафик или артефакти да изглеждат по-малко тревожни при бърз преглед.

AtlasRAT използва TLS и ChaCha20 шифроване за трафика към сървърите за управление и контрол, докато неговите плъгини разширяват възможностите на оператора върху компрометираната система.

Читателите, които проследяват скорошните фишинг кампании на Atlas RAT, могат да видят как семейството зловреден софтуер се появява и в други операции за доставка чрез социално инженерство.

Персистентност и възможности за откриване

Един от плъгините на AtlasRAT, „Persistence86.Dll“, е създаден, за да помогне на зловредния софтуер да оцелее след първоначалното заразяване.

ASEC наблюдава функции, които могат да подправят базата данни на услугата Windows Background Intelligent Transfer Service, да използват „NTUSER.MAN“ за персистентност при влизане в системата и да се опитват да заобиколят управлението на потребителските акаунти (UAC) чрез компрометиране на системния регистър и CMSTPLUA.

Зловредният софтуер може също така да стартира или спира офлайн регистриране на натиснатите клавиши (keylogging), да изтегля и изпълнява файлове, да проверява дали присъстват определени процеси и да инжектира DLL в „WeChat.Exe“.

Тези функции могат да помогнат на атакуващия да събира информация, да подготвя последваща дейност или да се скрие в процес, който изглежда нормален за потребителя.

ASEC не е издал конкретен списък с мерки за смекчаване на заплахата, но защитниците могат да търсят наблюдаваната инфраструктура, отпечатъци от сертификати, файлови хешове и необичайно поведение на товарача.

Полезните проверки включват 32-битови DLL файлове, експортиращи „ServiceRun“, маркера „By@V<“ заедно с идентифицираните низове за установяване на връзка (handshake) и създаване на отдалечена нишка с помощта на „LoadLibraryW“ срещу WeChat.

Организациите трябва също така да третират неочакваните софтуерни инсталатори като предупредителен знак, особено когато те пристигат чрез недоверени връзки или изтегляния.

Предишни активности с инструменти за социално инженерство показват защо служителите трябва да проверяват източниците на изтегляне, преди да отварят инсталатори, и бързо да докладват за подозрителни файлове.