Бэкдор Wpcdoor распространяется вместе с корейским ПО для управления видеорегистраторами. Цепочка держится на легитимных процессах и системных именах, поэтому знакомые файлы не вызывают подозрений у защиты. Кроме команд и снимков экрана, Wpcdoor собирает данные браузеров и ищет фразы восстановления криптокошельков. Такая фраза даёт полный доступ к средствам на кошельке. Затронуты те, кто устанавливал такую консоль на рабочие машины.
Описание
Начало цепочки даёт компонент Central Management Software - консоль, через которую администраторы управляют регистраторами. При запуске он создаёт вредоносную библиотеку и загружает её в свой процесс. Затем штатная утилита rs.win32.exe сама подхватывает подменённую библиотеку. Это приём DLL side-loading: система доверяет подписанному файлу и позволяет ему загрузить чужой код. Ни новых служб, ни заметных изменений в системе при этом не появляется.
Дальше библиотека работает как загрузчик. Она обращается к серверу управления, получает два файла, расшифровывает ответ и складывает его в профиль пользователя. Шифрование простое, на основе операции XOR, и ключ совпадает в обеих ветках цепочки. Один из скачанных файлов - легитимная программа мониторинга. Она загружает вторую библиотеку, а та поднимает финальный бэкдор прямо в памяти, поэтому исполняемый код на диск не попадает. В другой ветке загрузчик приносит иную системную библиотеку, меняет переменные среды и запускает утилиту FileHistory.exe. Структура пакетов у веток общая.
По данным AhnLab ASEC, за операциями стоит группа Larva-26013. Следы той же группы исследователи видят и за пределами Кореи. Сколько машин заражено и как долго длится кампания, в публикации не говорится.
После запуска Wpcdoor закрепляется в автозагрузке под именем программы мониторинга. Перед работой он проверяет мьютекс - системную метку, которая показывает, что копия уже запущена. На сервер бэкдор отправляет идентификатор машины, имя пользователя, имя компьютера и версию системы. Оттуда же приходят команды: снять экран, выполнить команду в оболочке, поискать файлы в пользовательских папках. Обратный канал у всех задач один.
Отдельная команда касается криптокошельков. Бэкдор перебирает в памяти браузера метки расширений - MetaMask, Phantom и других - и рядом пробует найти строку, похожую на seed-фразу. Другая команда собирает учётные данные, cookie, историю браузера и данные банковских карт. Набор функций смещён к сбору данных, а не к управлению заражённой машиной.
Что осталось за рамками публикации - путь первичного заражения. Не установлено, компрометирован ли сам дистрибутив консоли управления или вредоносную библиотеку подкладывают позже. Атрибуция тоже ограничена названием группы: доказательства связи с Larva-26013 не раскрыты. Не назван и охват - источник упоминает другие страны, но не перечисляет их. Из-за ставки на легитимные процессы основным признаком заражения остаются аномальные сетевые подключения консоли управления и загрузка библиотек из пользовательских каталогов.
Для защиты стоит проверять сетевые подключения CMS.exe и WpcMon.exe к незнакомым адресам, появление samcli.dll, rsaenh.dll и iphlpapi.dll в пользовательских каталогах, а также записи автозапуска с именем WpcMon. Отдельного внимания требует доступ консоли управления DVR к интернету: если он не нужен, его лучше закрыть. После обнаружения цепочки нужно сменить пароли, проверить браузерные сессии и переместить криптокошельки на чистую систему.
Индикаторы компрометации
