Хакери скриват зловредния код XLoader във фалшиви бизнес поръчки, за да крадат пароли и да избегнат откриването

Нова кампания със зловреден софтуер XLoader пристига във входящите пощенски кутии под формата на обикновени бизнес поръчки и запитвания за ценови оферти. Имейлите изглеждат рутинни, но прикаченият архив съдържа скрипт, който стартира верига от скрити стъпки.

Веригата завършва със стартирането на зловредния софтуер за кражба на пароли XLoader вътре в доверена програма на Windows. XLoader е софтуер за кражба на информация от семейството на FormBook.

Той извлича запазени пароли, бисквитки от браузъри и други данни за вход, след което ги изпраща до сървъри, управлявани от атакуващите. Престъпниците го предпочитат, защото се продава като услуга, така че почти всеки може да го купи и използва.

Изследователи от Morphisec отбелязаха, че през последните месеци са наблюдавали повишена активност на XLoader, изградена около множество имейл примамки с бизнес тематика.

Една от веригите, които са проучили, започва с имейл на гръцки език, който моли читателя да потвърди поръчка 001828. Темата започва с „RE:“, което го кара да изглежда като част от текущ разговор. Същата кампания е доставяла също Agent Tesla, Remcos и XWorm.

Хакери крият зловредния софтуер XLoader във фалшиви бизнес поръчки

Съобщението е кратко и моли читателя да прегледа прикачената поръчка и да отговори бързо. То е изпратено до „undisclosed-recipients“ (скрити получатели), така че не е известна нито една конкретна цел.

Прикаченият RAR архив повтаря номера на поръчката, но съдържа един обфускиран JScript файл вместо документ. Morphisec също така са видели имейли на словенски език и такива с тематика за оферти със същия тип прикачен файл.

Когато жертвата отвори скрипта, Windows Script Host го стартира. Скриптът се опитва да изтрие собствения си поток Zone.Identifier, който е маркировката, използвана от Windows за обозначаване на файлове, дошли от интернет.

След това той разопакова два файла от собственото си тяло в папката Documents: интерпретатор LuaJIT и програма на Lua без файлово разширение. На този етап нищо не се изтегля, така че мрежовите филтри трудно могат да засекат нещо. Скриптът стартира интерпретатора в скрит прозорец.

Програмата на Lua скрива своя конзолен прозорец и се опитва да заслепи инструментите за сигурност. Тя търси в паметта сканиращите функции на AMSI и се опитва да изтрие техните имена. Също така се опитва да презапише 12 функции в ntdll, включително няколко, които Windows използва за проследяване на събития, така че записването на логове да се провали.

От Morphisec казват, че това показва намерението на зареждащия модул (лоудъра), като не са наблюдавали тези модификации да работят върху реален хост. Много други кампании са използвали фалшиви поръчки като примамка, както във веригата на атака Cascading Shadows, която също доставяше XLoader.

Трикове само в паметта, които помагат на XLoader да избегне засичане

След това зареждащият модул на Lua декодира голям скрит бинарен обект (blob) и го зарежда директно в паметта като пакетирана програма. Тази пакетирана програма няма таблица за импортиране, така че изглежда празна за скенерите.

Тя сама намира необходимите й функции на Windows и декриптира ядрото на XLoader чрез RC4 криптиране. Само скриптът, интерпретаторът и файлът на Lua изобщо докосват диска. Всичко след това съществува в паметта.

След това XLoader избира 32-битова програма на Windows, в която да се скрие. Сред 12-те кандидата са cleanmgr.exe, clip.exe, getmac.exe, mshta.exe, ftp.exe и find.exe.

Той създава споделена секция от паметта, която и двете програми могат да виждат, копира себе си вътре и променя целевата нишка, така че да изпълнява новия код.

От Morphisec казват, че това не е изпразване на процес (process hollowing), тъй като оригиналният образ на хост програмата остава на мястото си. Методът също така избягва обичайното извикване на WriteProcessMemory, за което следят много инструменти. Основният код също е криптиран и декриптира ключова подпрограма само докато тази подпрограма се изпълнява.

Веднъж активиран, XLoader може да чете записи от Windows Vault и да подготвя записи на бисквитки за кражба. В настройките му са изброени 64 възможни хоста плюс още един, като той започва с 16 от тях.

Много от тях са примамки, така че самият списък не разкрива реалния сървър. По-ранни доклади показаха, че XLoader е надградил тактиките си за обфускация по същия начин. Zscaler ThreatLabz също са документирали мрежовия протокол на XLoader и от Morphisec казват, че тази проба отговаря на този дизайн.

Третирайте архивите със скриптови файлове вътре като подозрителни, дори когато имейлът споменава реално изглеждащ номер на поръчка. Блокирайте JS файлове в RAR и ZIP прикачени файлове на ниво имейл шлюз.

Следете за програми на LuaJIT с произволни имена, стартиращи от папката Documents. Търсете също планирани задачи с име EHFTUOMQDRXVTJSF, които зареждащият модул може да създаде, за да се изпълняват на всеки десет минути, ако съществува маркиращ файл.

Защитниците трябва също така да корелират скрипта с тематика за поръчка със свалените на диска файлове, промените във функциите на ntdll и съпоставянето на споделена памет, последвано от промяна на контекста на нишката.

Същият стил на примамка отдавна работи за престъпниците. Една по-стара кампания изпращаше фалшиви имейли с известия от SharePoint за разпространение на XLoader. Ето защо обучението на персонала и филтрирането на прикачените файлове остават най-евтините защити.

Тъй като XLoader краде запазени данни за вход, всяка заразена машина се нуждае от пълно нулиране на паролите за браузър и имейл акаунти. Друга кампания използваше уязвимост в Equation Editor за постигане на същата цел, така че инсталирането на корекции за сигурност за стари грешки в Office все още има значение.

Индикатори за компрометиране (IoCs):-

Забележка: IP адресите и домейните са умишлено дефангирани (напр. [.]), за да се предотврати случайно резолвиране или превръщане в хипервръзки. Връщайте ги в оригиналния им вид (re-fang) само в контролирани платформи за обмен на информация за заплахи, като MISP, VirusTotal или вашия SIEM.