Fortinet разкрива вариант на SectopRAT, скрит в модифициран легитимен софтуер за Windows

Вариант на SectopRAT бе открит скрит в подправен софтуер за Windows, което позволява на атакуващите да поемат контрол над инфектиран компютър и да откраднат чувствителна информация.

Внедряването е използвало компоненти от легитимно приложение като прикритие, като криптирани файлове са укривали зловредния код, докато той не бъде зареден в оперативната памет.

Засегнатата програма е на италиански разработчик, известен с дългогодишна цифрова аудио работна станция (DAW). Атакуващите са модифицирали поддържащите ѝ файлове и са организирали автоматично изпълнение чрез планирана задача (scheduled task).

Разследването не установи как промененият софтуер първоначално е достигнал до компютъра на жертвата. Изследователи от екипа за реагиране на инциденти FortiGuard на Fortinet са идентифицирали варианта по време на разследване на компрометирано устройство.

Fortinet посочва в доклад, споделен с Cyber Security News (CSN), че зловредният код съчетава поетапен товарач (loader) с обширни възможности за дистанционно управление и кражба на информация.

Известно още като ArechClient2, семейството зловреден софтуер SectopRAT е съществуващо, а не новооткрита заплаха. Предишни злонамерени кампании с реклама в търсачки са го разпространявали чрез подвеждащи изтегляния.

Това разследване документира друг метод за прикритие, но не установява връзка с тези кампании и не определя мащаба на по-широки инфекции.

Fortinet разкрива вариант на SectopRAT

Атакуващите са променили легитимна поддържаща библиотека, така че тя да импортира допълнителен злонамерен компонент при стартиране на изпълнимия файл за отчитане на приложението.

Планировчикът на задачи в Windows (Windows Task Scheduler) е стартирал този изпълним файл автоматично, давайки на модифицирания софтуер начин да се активира без многократна интеракция от страна на потребителя.

Разследващите са открили променената папка на приложението извън нормалното ѝ място за инсталация. Изключително важно е, че Fortinet не откри доказателства разработчикът да е разпространявал компрометиран софтуер.

Наличните доказателства сочат към манипулиране на легитимни файлове, а не към потвърден пробив във веригата за доставка на софтуер на вендора. Първият злонамерен компонент е декриптирал assembly код, скрит във файл с база данни.

След това той е предал този код през друга библиотека и е злоупотребил с Windows callback функция, която обикновено обработва системна информация, за да изпълни декриптираните инструкции вместо това.

Този междинен код е извлякъл динамично 187 Windows функции, скривайки техните имена до момента на изпълнение. Той е декриптирал крайния зловреден софтуер от втори файл с база данни, подготвил е .NET средата за изпълнение и е стартирал 64-битовия зловреден код на SectopRAT директно в паметта.

Сравними техники за зареждане на зловреден софтуер в паметта са се появявали и в други разследвания, включително при Sauron Loader. Тук криптирането, индиректните извиквания и множеството етапи на зареждане са направили работещия зловреден код по-малко забележим от самостоятелен злонамерен изпълним файл, намиращ се открито в папката на приложението.

Зловредният код също така е заменил четимите имена в кода с произволни такива и е усложнил потока си на изпълнение. Тези промени са добавили допълнителни препятствия над товарач, вече проектиран да скрива крайната програма по време на стандартна проверка.

Честите извиквания чрез указатели към методи допълнително са затруднили обратния инженеринг, правейки по-трудно за анализаторите да проследят логиката на зловредния софтуер и да идентифицират неговите функции.

Дистанционно управление

След като се активира, SectopRAT декриптира адреса на своя управляващ сървър от вградени ресурси и прави опит за връзка. Ако това се провали, той се свързва с една от 12 резервни крайни точки, за да възстанови алтернативен адрес чрез няколко стъпки на декодиране и декриптиране.

Fortinet отбелязва, че тези крайни точки изглежда са свързани с инфраструктурата на Binance Coin, но не може да установи дали атакуващите са ги компрометирали. Използването им като резервни канали не трябва да се бърка с доказателство, че техните оператори са участвали във внедряването.

Целият трафик между зловредния софтуер и неговия управляващ сървър е бил криптиран с AES. Изследователите са идентифицирали 29 команди, поддържащи заснемане на екрана, отдалечен достъп до команден ред (shell access), управление на файлове и процеси, рестартиране на компютъра и други административни действия, които практически са поставили устройството под външен контрол.

Една от командите е изтеглила допълнителен модул за извличане на данни от браузъри. Зловредният софтуер е събирал запазени пароли, свързани уеб адреси, записи за автоматично попълване, информация за платежни карти и бисквитки. Подобни кампании за кражба на идентификационни данни от браузъри показват защо едно инфектирано устройство може да изложи на риск няколко ценни акаунта наведнъж.

Целите са се разпростирали извън браузърите до Thunderbird, приложения за игри, разширения за портфейли и десктоп криптопортфейли. Събраната информация е била пакетирана като структурирани данни, криптирана и изпратена към управляващия сървър. Команда за деинсталиране е можела да изтрие работещия изпълним файл след шестсекундно забавяне.

Fortinet препоръчва обучение за повишаване на осведомеността относно сигурността, за да се помогне на потребителите да разпознават фишинг и друго съмнително съдържание, както и търсене на помощ за реагиране при инциденти, когато се подозира компрометиране.

Публикуваните индикатори предоставят насоки за разследване, но легитимните имена на файлове и споделената инфраструктура изискват контекст, вместо автоматично да се приема злонамерена собственост.

Индикатори за компрометиране (IoCs):-

Забележка: IP адресите и домейните са нарочно обезопасени (напр. [.]), за да се предотврати случайно разрешаване на имена или създаване на хипервръзки. Възстановете оригиналния им формат само в рамките на контролирани платформи за разузнаване на заплахи като MISP, VirusTotal или вашата SIEM система.