kuanzishwa
Mapema mwaka huu, tulichapisha karatasi nyeupe inayoeleza kinagaubaga cha VIP, programu hasidi ya hali ya juu inayotumia wizi wa mikuki na steganography ili kupenyeza mifumo ya waathiriwa. Keylogger inajulikana kwa uwezo wake wa wizi wa data, haswa kulenga vivinjari vya wavuti na vitambulisho vya mtumiaji.
Katika kampeni iliyotambuliwa hivi majuzi, watendaji tishio kwa mara nyingine tena wametumia mbinu za kuhadaa ili kusambaza programu hasidi. Hata hivyo, tofauti na marudio ya hapo awali, kampeni hii hutumia kidungamizi cha Auto-It-based kupeleka kibalozi cha mwisho cha upakiaji wa VIP.
Programu hasidi hutolewa kupitia barua pepe za ulaghai zilizo na viambatisho hasidi au viungo vilivyopachikwa. Mara baada ya kutekelezwa, husakinisha kiloja cha vifunguo cha VIP, ambacho kimeundwa mahususi kuiba taarifa nyeti kwa kuweka vibonye, kuchukua vitambulisho kutoka kwa vivinjari vinavyotumika sana kama vile Chrome, MS Edge, na Mozilla, na ufuatiliaji wa shughuli za ubao wa kunakili.
Katika kampeni hii, hati ya AutoIt inatumika kuwasilisha na kutekeleza upakiaji hasidi. Waigizaji wa vitisho mara nyingi huongeza Otomatiki kwa sababu ya urahisi wa kufichua na uwezo wa kukusanya hati katika utekelezo, ambao hukwepa suluhu za jadi za AV.
Mlolongo wa maambukizi na mti wa Mchakato:
Kampeni inaanza na barua pepe ya wizi wa data ya mkuki iliyobeba faili ya ZIP inayoitwa "risiti ya malipo_USD 86,780.00.pdf.pdf.z.". Kumbukumbu hii ina hati mbaya inayoweza kutekelezeka iliyofichwa kama “risiti ya malipo_USD 86,780.00 pdf.exe”, inayohadaa watumiaji kuamini kuwa ni hati isiyo na madhara. Mara tu inapotekelezwa, inayoweza kutekelezwa huendesha hati ya AutoIt iliyopachikwa na kuangusha faili mbili zilizosimbwa leucoryx na avenes kwenye folda ya temp. Faili hizi hutambulishwa wakati wa utekelezaji, na upakiaji wa mwisho, VIP Keylogger, hudungwa kwenye RegSvcs.exe kwa kutumia mbinu za uwekaji mashimo, kama inavyoonyeshwa kwenye takwimu zilizo hapa chini.
Kuingia ndani:
Kampeni inaanza kwa barua pepe ya wizi wa data ya mkuki iliyobeba faili ya ZIP inayoitwa "risiti ya malipo_USD 86,780.00 pdf.pdf.z." Kumbukumbu hii ina hati hasidi inayoweza kutekelezeka iliyofichwa kama “risiti ya malipo_USD 86,780.00 pdf.exe,” na kuwahadaa watumiaji kufikiria kuwa ni hati isiyo na madhara. Mara baada ya kutekelezwa, hati iliyopachikwa ya AutoIt inaendesha na kuangusha VIP Keylogger kwenye mfumo, kama inavyoonyeshwa kwenye picha hapa chini.
Viambatisho vya Zip ambavyo vina zaidi inayoweza kutekelezwa.
Wakati wa utekelezaji, faili mbili zinazoitwa leucorynx na aveness hutupwa kwenye saraka ya Muda ya mfumo, kama inavyoonyeshwa kwenye takwimu hapa chini.
Hati ya AutoIt:
Hati hii ya AutoIt inasimbua na kutekeleza upakiaji ulioshuka kwenye kumbukumbu. Kwanza hukagua faili iliyosimbwa leucoryx kwenye saraka ya temp, inasoma yaliyomo, na kuifuta kwa kutumia kitendakazi maalum cha XOR (KHIXTKVLO). Data iliyosimbwa huhifadhiwa katika muundo wa kumbukumbu.
Hurejesha kielekezi kwenye upakiaji uliosimbwa na hutumia DllCall kutenga kumbukumbu inayoweza kutekelezeka na kunakili mzigo kwenye kumbukumbu iliyotengwa. DllCall ya pili inaanzisha utekelezaji na inaendesha upakiaji kwenye kumbukumbu.
Leukorynx ina ufunguo wa faili ya kusimbua, kama inavyoonyeshwa kwenye takwimu hapa chini.
Programu hasidi hudondosha hati ya .vbs kwenye folda ya Kuanzisha ili kudumisha uendelevu. Hati hii hutekeleza upakiaji msingi wa malipo ulio katika saraka ya "AppData\Local".
Hati ya VB huhakikisha kuwa upakiaji (definitiveness.exe) ulio katika saraka ya "AppData\Local\Dunlop" inatekelezwa kila mtumiaji anapoingia, itafanya kazi kimya chini baada ya kila kuwasha upya.
Upeo wa faili ulioshuka hupakiwa kwenye kumbukumbu, kama inavyoonyeshwa kwenye takwimu hapa chini. Baada ya kupakiwa, maudhui yake yanapitishwa kwa utaratibu maalum wa kusimbua, ambao unawajibika kwa kufungua au kusimbua upakiaji uliopachikwa.
Kielelezo kilicho hapa chini Inaonyesha chaguo la kukokotoa la usimbuaji, ambalo huchukua anwani ya upakiaji uliosimbwa kwa njia fiche na kitufe cha XOR kama hoja.
Kielelezo kilicho hapa chini kinaangazia kitanzi cha usimbuaji, ambapo upakiaji hutatuliwa mara kwa mara. Tupa la kumbukumbu linaonyesha maudhui yaliyosimbwa kwenye mzigo wa malipo.
Upakiaji uliosimbwa ni .NET VIP keylogger;
Mchakato wa Hollowing:
Kielelezo kilicho hapa chini kinaonyesha matumizi ya uwekaji mashimo wa mchakato, ambapo RegSvcs.exe imetolewa katika hali iliyosimamishwa kwa kutumia CreateProcess. Hii huwezesha programu hasidi kubandua msimbo asilia na kuingiza upakiaji wake yenyewe kwenye kumbukumbu ya mchakato kabla ya kuanza kutekeleza.
Kama inavyoonyeshwa kwenye takwimu zilizo hapa chini, upakiaji uliosimbwa umewekwa kwenye nafasi ya anwani ya regsvc.exe. Hifadhi ya kumbukumbu ina mifuatano inayohusishwa na upakiaji.
Upakiaji: VIP Keylogger
Mzigo wa mwisho uliotolewa katika kampeni hii ni VIP Keylogger, ambayo tayari tumetoa uchambuzi kamili wa utendaji, uwezo, na tabia yake katika karatasi yetu ya kiufundi kuhusu VIP Keylogger.
IOC:
| MD5 | Filename |
| F0AD3189FE9076DDD632D304E6BEE9E8 | risiti ya malipo_USD 86,780.00 pdf.exe |
| 0B0AE173FABFCE0C5FBA521D71895726 | VIP Keylogger |
| Kikoa/IP | |
| hxxp[:]//51.38.247.67:8081 |
Ulinzi:
Trojan.AgentCiR
Trojan.YakbeexMSIL.ZZ4
MITER ATT&CK:
| Mbinu | Kitambulisho cha Mbinu | jina |
| Kufutwa | T1027 | Faili au Taarifa Zilizofichwa |
| Utekelezaji | T1204.002 | Utekelezaji wa Mtumiaji: Faili Hasidi |
| Utekelezaji | T1059.006 | Amri na Mkalimani wa Maandishi: Python |
| screen Capture | T1113 | screen Capture |
| Kusanya Taarifa za Mwenyeji wa Mwathirika | T1592 | Hukusanya maelezo ya mfumo |
| Ingiza Nasa | T1056 | Ufungashaji |
| Ukwepaji wa Ulinzi | T1055.002 | Sindano ya Mchakato: Sindano Inayoweza Kutekelezwa |
| Sindano ya Maudhui | T1659 | Kuingiza msimbo hasidi kwenye mifumo |
| Amri na Kudhibiti | T1071.001 | Itifaki ya Tabaka la Maombi: Itifaki za Wavuti |
mwandishi:
Vaibhav Billade
Rumana Siddiqui
