LxBase RAT атакует российские компании под видом деловой переписки из Казахстана

Письма выглядели как рабочая переписка сотрудников казахстанских компаний. В одном варианте получателю предлагали ознакомиться с приказом под определённым номером. В другом - присылали запрос на закупку товаров и просили прислать лучшее ценовое предложение по приложенному списку. Архив маскировался под документ: имя файла повторяло название вложения и содержало слово "Заказ". Тема письма копировала деловой шаблон, поэтому сообщение не выглядело подозрительным. Отправители ссылались на темы, знакомые сотрудникам российских и казахстанских организаций.

По данным BI.ZONE Threat Intelligence, внутри архива лежал замаскированный загрузчик на JavaScript. Пользователь запускал его сам, полагая, что открывает таблицу с заказом. Дальше начиналась многоступенчатая цепочка. Скрипт создавал свои копии в служебных папках, готовил сценарий для повторного запуска и добавлял задачу в планировщик Windows, чтобы вредоносный код возвращался после каждого входа в систему.

Следующий этап опирался на штатные средства операционной системы. Промежуточные сценарии загружали дополнительный модуль, а тот внедрял основную нагрузку в легитимный системный процесс сборки приложений. Так активность вредоносной программы сливалась с работой доверенного компонента. Обнаружить её стандартными средствами становилось труднее. По ходу работы промежуточные файлы удалялись, следов на диске оставалось всё меньше. Все проанализированные атаки строились по одной схеме, что указывает на отлаженный инструмент. Открытие одного вложения запускает всю цепочку без дополнительных действий жертвы.

После закрепления троян связывался с командным сервером и передавал сведения о заражённом устройстве. Среди них - интернет-провайдер, город и страна, версия операционной системы, имя пользователя и компьютера, наличие прав администратора, время установки программы и последней активности клавиатуры или мыши. Перед отправкой данных троян проверяет, не запущен ли он уже на этом устройстве, и не допускает повторного старта. Признаки установки он хранит в скрытой системной папке. Так злоумышленник понимает, насколько ценна конкретная машина.

Возможности LxBase RAT широки. Программа удалённо управляет компьютером, ведёт запись нажатий клавиш, делает снимки экрана, перехватывает содержимое буфера обмена и извлекает произвольные файлы. Отдельный интерес для злоумышленников представляют сохранённые пароли, файлы cookie, данные банковских карт, токены аутентификации и ключи шифрования браузеров. Среди целей - браузеры, почтовые клиенты, мессенджеры, а также приложения для работы с криптовалютными кошельками. Часть сведений программа собирает автоматически и незаметно для пользователя.

Отдельный модуль создаёт полностью контролируемое удалённое окружение. Злоумышленник запускает изолированные сеансы браузера на чужой машине и управляет их интерфейсом. Для владельца устройства стороннее вмешательство может оставаться незаметным, потому что работа идёт в отдельном сеансе, а не в открытом окне. Подобная функциональность заметно расширяет возможности слежки и кражи данных.

Последствия заражения выходят за рамки одной машины. Похищенные пароли и токены аутентификации открывают доступ к корпоративным сервисам. Через них возможны новые атаки уже на инфраструктуру компании. Данные банковских карт превращаются в прямые финансовые потери, а переписка в мессенджерах - в источник сведений для последующего давления.

Анализ теневых площадок показывает, что инструмент продаётся по подписочной модели. Подписка стоит 119 долларов в месяц, 255 - за три месяца или 1020 долларов в год. В неё входит доступ к самому трояну и к криптору для упаковки нагрузки. Криптор снижает вероятность обнаружения средствами защиты, распознаёт виртуальные среды и прячет заражение от антивирусов. Порог входа для атакующих оказался низким. Покупателю не нужно писать код или искать исполнителей, доступ выдаётся сразу после оплаты.

Схема с подпиской на вредоносное ПО как услугу снижает требования к подготовке атакующих. Человеку без глубоких технических знаний достаточно оплатить доступ и разослать письма. Именно поэтому такие кампании становятся массовыми. Продавец предлагает сразу два продукта: сам троян и упаковщик, который мешает защитным программам распознать угрозу.

Упаковщик умеет шифровать строки внутри программы и запутывать её логику. Из-за этого восстановить исходную структуру кода становится сложно. Он также замечает попытки изменить исполняемый файл и определяет запуск внутри виртуальной среды. Задержка перед стартом основной нагрузки добавляет времени до первого срабатывания средств защиты.

Организациям стоит напоминать сотрудникам об осторожности с вложениями. Архив с "приказом" или "запросом цен" от незнакомого отправителя - повод проверить адрес и не открывать файл. Полезно обновлять системы, ограничивать запуск сценариев, проверять задачи в планировщике и следить за подозрительными процессами. Раннее обнаружение закрепления трояна сокращает ущерб и объём похищенных данных.