Хакерите от PAPERMILL злоупотребяват с легитимно подписан Notepad++, за да внедрят VenomRAT при атаки с данъчни проверки

Фишинг кампания, използваща фалшиво известие за данъчна проверка, разпространява VenomRAT чрез подписано копие на Notepad++. Операцията, проследявана под името PAPERMILL, използва имейл и прикачен файл с дисков образ, за да направи опасния файл да изглежда като рутинен.

Прикаченият файл пристига с тема за данъчна проверка и може да премине проверките за SPF, DKIM и DMARC. Отварянето му монтира нещо, което изглежда като локално дисково устройство, позволявайки на злонамерената верига да започне без предупредителните етикети, които носят файловете, изтеглени от интернет.

Анализатори от JUMPSEC идентифицираха активността след преглед на подозрителен имейл на клиент. Те оцениха PAPERMILL като нововъзникващ клъстер с тактики и техники, близки до екосистемата Silver Fox, като същевременно се въздържаха от пълно приписване на авторството на тази група.

JUMPSEC заяви в доклад, споделен с Cyber Security News (CSN), че кампанията илюстрира защо валидният електронен подпис не е доказателство, че целият набор от файлове е безопасен.

Тя комбинира позната примамка, доверено приложение, компрометиран поддържащ файл и криптиран краен зловреден код, помагайки на атакуващите да преминат покрай базовите контроли за сигурност. Този подход усложнява разследването и реагирането на инциденти за защитниците.

Киберпрестъпниците зад PAPERMILL злоупотребяват с подписан Notepad++

Имейлът насочва получателите към дисков образ с тема за данъчно известие. След като се монтира, контейнерът представя преименувано, легитимно подписано приложение, фалшива библиотека и криптиран файл с данни.

Тази техника може да премахне марката за произход от интернет от файловете вътре, намалявайки предупрежденията, които Windows обикновено би показал. Подписаният изпълним файл не е променян. Вместо това той е преименуван и е направен така, че да зареди намиращата се наблизо злонамерена библиотека.

Тази форма на DLL sideloading позволява на вредния код да се изпълнява до доверен процес – модел, който се наблюдава и в скорошни кампании с DLL sideloading.

Фалшивата DLL библиотека разкрива само функциите, които легитимната програма очаква, позволявайки на приложението да се отвори нормално, докато зареждащият модул (loader) работи на заден план.

Тя също така използва подвеждащи имена на секции, предназначени да объркат инструментите за анализ, след което декриптира своя файл с данни и стартира следващия етап от паметта.

Зареждащият модул проверява дали устройството прилича на автоматизирана среда за анализ. Малкото памет, малкото свободно пространство за съхранение, краткото време на работа след стартиране, нераздвиженият курсор или ниската резолюция на дисплея могат да предизвикат петминутно забавяне вместо незабавен изход.

Доставка на VenomRAT и стъпки за защита

След забавянето и проверките на привилегиите, зареждащият модул може да поиска потвърждение от администратор, да създаде запис за устойчивост в RunOnce и да копира компоненти в папките на потребителския профил.

След това той използва Donut shellcode loader, за да изпълни .NET зловреден код в паметта. Този многослоен дизайн отразява техниката за доставка на VenomRAT чрез дисков образ, но PAPERMILL добавя етап на sideloading през подписана програма.

Възстановената конфигурация идентифицира VenomRAT версия 6.0.3 със скрити възможности за виртуален мрежов компютинг (VNC), кражба на данни и прихващане на файлове.

Неговият сървър е конфигуриран за трафик с отдалечени команди, създавайки риск от кражба на акаунти, наблюдение и последващо проникване, ако жертвата стартира прикачения файл. Свързаните образци и инфраструктура показват кампания, фокусирана върху индийски цели с данъчна тематика.

Изследователите откриха връзки с по-широкия почерк в стил Silver Fox, включително свързана с Китай инфраструктура и данъчни примамки, но отбелязаха ключови разлики в избраната хост програма, зареждащия модул и инструмента за отдалечен достъп.

Тази предпазливост е от значение: споделената техника може да сочи към екосистема или копирана активност, вместо да доказва, че един конкретен автор на заплахата е водил кампанията.

Организациите трябва да третират непоисканите данъчни известия и неочакваните файлове с дискови образи като високорискови, дори когато имейлът преминава проверките за автентичност.

Служителите трябва независимо да потвърждават свързаните с данъци искания през известни канали, докато екипите по сигурността трябва да блокират или внимателно да проверяват IMG и ISO файлове, доставени по имейл, и да разследват необичайни монтирани устройства.

Защитниците трябва също така да генерират предупреждения при подписани приложения, зареждащи неочаквани DLL библиотеки от папки с права за писане от потребителя, непознати записи в RunOnce и подозрителни мрежови връзки от доверени процеси или такива, изглеждащи като системни.

Тези контроли допълват уроците от злоупотребата с доверен софтуер при SilverFox и могат да разкрият поведението, което хешовете на файловете за отделните изтегляния могат да пропуснат.

Тъй като PAPERMILL може да генерира нови контейнери, само хешовете е малко вероятно да осигурят трайно покритие. Търсенето на връзки между файловете на зареждащия модул, моделите на наименуване на библиотеките, локациите за устойчивост и командния трафик дава на екипите за реагиране по-силни начини за откриване на инфекции и тяхното ограничаване, преди атакуващите да разширят достъпа си.

Индикатори за компрометиране (IoCs):-

Забележка: IP адресите и домейните са умишлено деактивирани (defanged, напр. [.]), за да се предотврати случайно разрешаване на имена или превръщането им в хипервръзки. Възстановявайте активния им вид (re-fang) само в контролирани платформи за анализ на киберзаплахи като MISP, VirusTotal или вашата SIEM система.