Группы вредоносного программного обеспечения (ПО), нацеленные на финансовый сектор, постоянно эволюционируют, становясь сложнее для обнаружения и анализа. Эксперты из Managed Detection and Response (MDR) подразделения одной из ведущих компаний по кибербезопасности столкнулись с ярким примером такой эволюции - активной кампанией под названием Horabot. Эта угроза представляет собой комплексный набор, включающий известный банковский троянец, модуль массовой рассылки писем и многоступенчатую цепочку внедрения. Хотя Horabot уже был описан ранее, текущая активность демонстрирует новые технические аспекты, включая серверный полиморфизм, сложное шифрование и адаптацию под конкретный регион, что делает её актуальным кейсом для изучения специалистами по информационной безопасности.
Описание
Начальной точкой для исследования стал стандартный инцидент. В среде одного из клиентов сработало общее правило, настроенное на обнаружение подозрительной активности, связанной с исполнением скриптов через утилиту "mshta". Продукт для защиты конечных точек Kaspersky Endpoint Security с модулем проактивной защиты (PDM) успешно заблокировал вредоносный процесс и удалил связанные файлы, предотвратив развитие атаки. Однако сам факт попытки проникновения привлёк внимание аналитиков, которые решили изучить тактику, техники и процедуры (TTP), стоящие за этой кампанией.
Тщательное расследование позволило восстановить полную цепочку атаки. Она начинается с классической социальной инженерии: жертве предлагается перейти на поддельную страницу с CAPTCHA, которая на самом деле является фишинговой. На странице пользователю предлагается открыть диалоговое окно «Выполнить» (Run), вставить и выполнить предоставленную команду. В данном случае команда загружала и исполняла HTA-файл (HTML Application), который выступал в роли первого загрузчика. Этот файл открывал пустое окно и незаметно для пользователя загружал JavaScript-полезную нагрузку с контролируемого злоумышленниками домена.
Особенностью данной кампании является активное использование серверного полиморфизма. Каждый последующий этап загрузки представляет собой VBScript, который динамически подгружается с сервера злоумышленников. При этом каждый запрос к одному и тому же ресурсу возвращает слегка изменённую версию кода, сохраняющую ту же функциональность. Это усложняет создание статических сигнатур для антивирусных решений. Второй, более сложный VBScript, выполняет роль основного загрузчика. Он содержит более 400 строк обфусцированного кода, проводит проверки на наличие виртуальных машин и антивируса Avast, собирает системную информацию (IP-адрес, имя хоста, пользователя, версию ОС) и отправляет её на сервер управления.
Исследователи обнаружили незащищённую веб-страницу, на которой операторы угрозы вели список своих жертв. Данные, представленные на португальском языке, показали, что из 5384 заражённых систем около 93% (5030) находились в Мексике, что указывает на чёткую географическую направленность кампании. После сбора информации загрузчик размещает на диске три компонента, связанных с AutoIt (исполняемый файл, компилятор и скрипт), а также зашифрованный blob-файл. Скрипт AutoIt расшифровывает этот файл, используя AES-192, и загружает в память DLL-библиотеку.
Анализ этой библиотеки показал, что это вариация известного банковского троянца, известного под именами Casbaneiro, Ponteiro или Metamorfo. Он крадёт учётные данные из браузеров, используя SQL-запросы, и поддерживает связь с C2 через HTTPS, используя старые библиотеки OpenSSL. Вредоносная программа использует сложный шифр на основе XOR с вычитанием для защиты строк и конфигурации, а также реализует собственный протокол для управления через сокеты, унаследованный от открытого проекта Delphi Remote Access PC. Для шифрования трафика по этому протоколу применяется ещё один алгоритм на основе XOR с тремя случайными ключами, что, как ни парадоксально, создаёт отличительный шаблон «##[ключи][данные]##», который можно использовать для детектирования в сетевых системах обнаружения вторжений (IDS).
Одной из ключевых функций троянца является демонстрация фишинговых оверлеев - поддельных окон, которые накладываются поверх интерфейсов легитимных банковских приложений и выманивают у жертв данные для входа. Изображения для этих оверлеев хранятся в зашифрованном виде и расшифровываются с помощью алгоритма RC4. Ключ для расшифровки содержит бразильское сленговое выражение «pega a visão», что косвенно подтверждает происхождение операторов кампании. Помимо банковских функций, комплекс Horabot включает модуль массовой рассылки (spreader), написанный на PowerShell. Его задача - собрать адреса электронной почты через MAPI, отфильтровать их по стоп-словам и разослать фишинговые письма с вредоносными PDF-вложениями. Комментарии в коде этого модуля также написаны на бразильском португальском и содержат неформальные выражения, что указывает на ручное, а не автоматизированное, написание части кода.
Данный случай наглядно демонстрирует тенденцию к созданию модульных и многоступенчатых угроз, которые сочетают проверенные методы (социальную инженерию, известные банковские троянцы) с усложнёнными механизмами обфускации и доставки. Для защиты от подобных атак специалистам по информационной безопасности рекомендуется уделять особое внимание обучению пользователей распознаванию фишинга, строгой сегментации сети, а также внедрению решений класса EDR для поведенческого анализа. Сетевые сигнатуры, основанные на уникальных шаблонах шифрования протокола управления, таких как описанный формат с маркерами «##», могут быть эффективно внедрены в системы IPS/IDS для блокировки коммуникаций на ранних стадиях. Регулярный аудит и ограничение использования скриптовых технологий (mshta, PowerShell) в корпоративной среде также являются важными мерами по сокращению поверхности атаки.
Индикаторы компрометации
IPv4
- 64.177.80.44
Domains
- lifenews.pro
URLs
- https://aufal.filevexcasv.buzz/on7/index15.php
- https://aufal.filevexcasv.buzz/on7all/index15.php
- https://cfg.brasilinst.site/a/br/logs/index.php?CHLG
- https://cgf.facturastbs.shop/0725/a/home
- https://cgf.facturastbs.shop/a/08/150822/au/app
- https://cgf.facturastbs.shop/a/08/150822/au/at.html
- https://cgf.facturastbs.shop/a/08/150822/au/gerapdf/blqs1
- https://cgf.facturastbs.shop/a/08/150822/au/gerauto.php
- https://cgf.midasx.site/a/08/150822/au/au
- https://evs.grupotuis.buzz/0capcha17/
- https://evs.grupotuis.buzz/0capcha17/DMEENLIGGB.hta
- https://evs.grupotuis.buzz/0capcha17/DMEENLIGGB/GRXUOIWCEKVX
- https://labodeguitaup.space/a/08/150822/au/au
- https://pdj.gruposhac.lat/g1/
- https://pdj.gruposhac.lat/g1/auxld1
- https://pdj.gruposhac.lat/g1/ctld/
- https://pdj.gruposhac.lat/g1/gerador.php
- https://pdj.gruposhac.lat/g1/ld1/
- https://thea.gruposhac.space/0out0408
MD5
- 6272ef6ac1de8fb4bdd4a760be7ba5ed
Индикаторы компрометации
| 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 | rule Horabot_Delphi_Trojan { meta: author = "maT" description = "Detects Horabot payload/trojan (Delphi DLL)" hash_01 = "6272ef6ac1de8fb4bdd4a760be7ba5ed" hash_02 = "4caa797130b5f7116f11c0b48013e430" hash_03 = "c882d948d44a65019df54b0b2996677f" condition: uint32be(0) == 0x4d5a5000 and filesize < 150MB and pe.is_dll() and pe.number_of_exports == 4 and pe.exports("dbkFCallWrapperAddr") and pe.exports("__dbk_fcall_wrapper") and pe.exports("TMethodImplementationIntercept") and pe.exports(/^[A-Z][0-9]{6}_[A-Z0-9]$/) } |
| 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 | rule Horabot_AutoIT_Loader { meta: author = "maT" description = "Detects AutoIT script used as a loader by Horabot" strings: $winapi_01 = "Advapi32.dll" $winapi_02 = "CryptDeriveKey" $winapi_03 = "CryptDecrypt" $winapi_04 = "MemoryLoadLibrary" $winapi_05 = "VirtualAlloc" $winapi_06 = "DllCallAddress" $str_seed = "99521487" $str_func01 = "B080723_N" $str_func02 = "A040822_1" $opt_hexstr01 = { 20 3D 20 22 ?? ?? ?? ?? ?? ?? ?? 5F ?? 22 20 0D 0A 4C 6F 63 61 6C 20 24} // = "B080723_N" CRLF Local $ $opt_aes192 = "0x0000660f" // CALG_AES_192 $opt_md5 = "0x00008003" // CALG_MD5 condition: filesize < 100KB and all of ($winapi*) and ( 1 of ($str*) or all of ($opt*) ) } |
