Обнаружена вредоносная программа удалённого доступа AtlasRAT, ориентированная на операционную систему Windows. Для проникновения в систему злоумышленники применяют четырёхэтапную цепочку загрузки, исполняемую исключительно в оперативной памяти. Первым звеном служит файл FlashPlay.exe, написанный на Delphi и выдающий себя за установщик Adobe Flash Player. После запуска этого файла начинается последовательное восстановление фрагментов кода, которое в итоге приводит к активации основной вредоносной нагрузки.
Описание
Второй этап цепочки представляет собой реконструкцию зашифрованных фрагментов, в результате которой формируется небольшой загрузчик. Этот загрузчик связывается с управляющим сервером злоумышленников и получает оттуда следующий модуль. Только после его исполнения в память загружается финальная динамическая библиотека - основная программа удалённого доступа. Для связи с командным сервером вредонос использует зашифрованный канал, основанный на протоколе TLS и современном алгоритме шифрования. При этом применяется самоподписанный сертификат, имитирующий сертификат обновлений Microsoft, что усложняет выявление подозрительного трафика.
По данным аналитиков ASEC, публичный анализ AtlasRAT пока ограничен - известно лишь несколько независимых исследований. Однако ретроспективный поиск по общей базе вредоносных файлов выявил 146 уникальных образцов, шесть версий, а также 27 эвристических разновидностей. Такой масштаб и разнообразие нехарактерны для одного оператора. Это позволяет предположить, что вредонос мог разрабатываться на коммерческой основе или распространяться в закрытых сообществах.
После закрепления в системе AtlasRAT получает возможность выполнять модульные плагины, загружать и запускать произвольные файлы, проверять наличие определённых процессов, а также вести скрытую запись нажатий клавиш. Отдельная функция позволяет внедрять вредоносную динамическую библиотеку в процесс приложения WeChat. Такое внедрение даёт злоумышленникам доступ к переписке и данным мессенджера, минуя стандартные средства защиты.
Для долговременного присутствия в системе используется отдельный модуль закрепления. Он способен вмешиваться в работу фоновой службы интеллектуальной передачи Windows (BITS), изменять файл профиля пользователя для автоматического запуска при входе, а также обходить контроль учётных записей (UAC) с помощью легитимной утилиты Windows и правок реестра. Серверы управления AtlasRAT, по имеющимся данным, расположены в Гонконге и Южной Корее.
Связь вредоноса с известной группировкой Silver Fox пока остаётся на уровне косвенных улик и окончательно не подтверждена. Гораздо важнее, что AtlasRAT представляет собой не единичную программу, а целую платформу для сборки вариантов. Установлены параллельные сборки для 32- и 64-разрядных систем, итеративная перекомпиляция, отдельный модуль закрепления и постепенное внедрение самоподписанных сертификатов. Такая архитектура позволяет быстро адаптировать вредонос под разные цели и условия.
Понимание структуры разработки и распространения AtlasRAT важнее, чем точная атрибуция конкретному злоумышленнику. Для защиты от подобных угроз организациям следует мониторить необычную активность фоновой службы BITS, проверять наличие самоподписанных сертификатов с поддельными именами издателя, а также обращать внимание на процессы, внедряющиеся в мессенджеры и другие легитимные приложения. Регулярное обновление всех компонентов системы и использование принципа минимальных привилегий остаются базовыми мерами, снижающими риск заражения.
Индикаторы компрометации
