AgtaBackup RAT използва фалшиви страници на Microsoft Store и RMM инструменти за отвличане на системи с Windows

Новопроследен троянец за отдалечен достъп (RAT) за Windows, наречен AgtaBackup RAT, използва фалшиви страници на Microsoft Store, за да стъпи стабилно в компютрите на жертвите.

Кампанията се представя като предлагаща популярно софтуерно осигуряване за видеоконференции, но изтеглянето вместо това инсталира легитимен инструмент за отдалечено наблюдение и управление (RMM), управляван от атакуващите. Тази първа стъпка е от съществено значение, тъй като инсталаторът е автентично подписан и инсталацията изглежда нормална.

След като жертвата потвърди подканващия прозорец на Windows User Account Control (UAC), RMM клиентът регистрира компютъра в акаунт, контролиран от атакуващите, осигурявайки на операторите незабележим отдалечен достъп, който може да се слее с рутинните дейности по поддръжка. Анализатори от Palo Alto Networks Unit 42 идентифицираха зловредния софтуер чрез артефакти от кампанията.

От Palo Alto Networks Unit 42 заявиха в доклад, споделен с Cyber Security News (CSN), че специализираният .NET заден вход (backdoor) осигурява дългосрочен контрол, кражба на данни и наблюдение.

Докладът не съдържа брой на жертвите или списък със засегнати държави. След като операторите получат достъп, те могат да инсталират зловредния код (RAT), да изпълняват команди, да правят екранни снимки, да записват натиснатите клавиши и да събират данни от браузъри.

Подходът показва защо екипите по сигурност трябва да оценяват неочакван софтуер за отдалечен достъп въз основа на начина му на доставка и поведението му, а не само според това дали изглежда надежден.

AgtaBackup RAT използва фалшиви страници на Microsoft Store

Инфекцията започва на целева страница, създадена да наподобява продуктова страница в Microsoft Store за софтуер за видеоконференции.

Кликването върху рекламираното изтегляне може да достави RMM MSI пакет, включващ продукти като LogMeIn Resolve или ConnectWise ScreenConnect, вместо очакваното приложение.

Подобни фалшиви страници на Microsoft Store са укривали вредни изтегляния зад познати брандове. Жертвите виждат стандартен инсталатор и искане за съгласие от UAC.

При одобрение RMM услугата се стартира с привилегии на ниво SYSTEM и се свързва със своята нормална облачна инфраструктура, докато крайната точка се свързва с профила (tenant) на киберпрестъпниците.

Това осигурява на нападателите директна терминална сесия, без първоначално да внедряват явно зловредна програма за отдалечен контрол.

След забавяне, което може да продължи часове или дни, операторите използват тази сесия за изпълнение на PowerShell команда, която изтегля инсталатора на AgtaBackup и стартира тиха MSI инсталация.

Този модел наподобява предишни злоупотреби с легитимни RMM инструменти, при които доверен софтуер за администриране се превръща в мост към вторичен зловреден код.

Зловредният код (RAT) се инсталира като скрита SYSTEM услуга и използва подвеждащо име, за да изглежда свързан със сигурността на Windows. Две планирани задачи се изпълняват всяка минута и при стартиране на системата.

Ако защитниците спрат услугата или премахнат нейната директория, тези компоненти могат да възстановят зловредния софтуер в рамките на 60 секунди, което прави частичното почистване рисковано.

Кражба на идентификационни данни и стъпки за откриване

AgtaBackup RAT се свързва със своя управляващ сървър (C2) на всеки две секунди и отваря WebSocket канал за команди в реално време.

Той прави инвентаризация на устройството и може да изпълнява PowerShell, да мести файлове, да внедрява допълнителен софтуер, да прави екранни снимки и да управлява скрит работен плот за тайни операции. Това работно пространство позволява на атакуващите да използват командни обвивки (shells), без да показват видим прозорец на влезлия в системата потребител.

Зловредният софтуер е насочен към запазени идентификационни данни, бисквитки, история, отметки и други профилни данни от девет фамилии браузъри, включително Chrome, Edge, Firefox, Brave, Opera, Vivaldi, Chromium и Yandex.

Той също така стартира отделен кейлогър, маскиран като процес за сигурност на Windows. Комбинацията увеличава риска от прехващане на акаунти, заедно с рисковете от кражба на браузърни данни, наблюдавани при други RAT операции.

Изследователите установиха, че зловредният софтуер може да промени настройка на Windows, за да премести UAC подканванията извън защитения работен плот, и след това дистанционно да инжектира входни данни в тях.

Той допълнително прикрива дейността си чрез ограничаваща настройка за разрешения на услугата, която намалява видимостта за потребители без SYSTEM привилегии, включително локални администратори. Тези функции правят ранното откриване на веригата на доставка особено ценно.

Екипите по сигурност трябва да разследват неодобрени регистрации на RMM, особено когато RMM процес стартира PowerShell за изтегляне на MSI, последвано от тиха команда msiexec.

Те трябва също така да зададат сигнали за повторно възстановяване на задачи на услуги, настройки за контрол на системно ниво, неподписани SYSTEM процеси, четящи множество файлове от хранилища на браузъри, и необичаен управляващ трафик по време на реакция при инциденти.

Потребителите трябва да получават актуализации само чрез официални източници — мярка за безопасност, подчертана и при отразяването на кампанията с фалшиви актуализации за Teams.

Indicators of compromise (IoCs):-

Note: IP addresses and domains are intentionally defanged (e.g., [.]) to prevent accidental resolution or hyperlinking. Re-fang only within controlled threat intelligence platforms such as MISP, VirusTotal, or your SIEM.