Незаметные вредоносные .NET программы: скрытие вредоносной полезной нагрузки в виде растровых ресурсов

Злоумышленники использовали растровые ресурсы для проведения атак на целевые отрасли и регионы. Вредоносные программы были скрыты под легитимные файлы .exe, связанные с закупками, организациями и датами финансовых операций.

Техники обфускации в .NET включают переименование классов, замену опкодов и шифрование строк для затруднения статического анализа и обратного инжиниринга. Злоумышленники используют комбинацию этих методов для защиты вредоносных приложений. Технический анализ показал процесс извлечения вредоносной полезной нагрузки из растровых ресурсов и деобфускацию кода для загрузки вредоносных программ.

Подробный анализ конкретного образца вредоносного ПО показал использование различных методов для обфускации и загрузки ресурсов. Класс MainForm в .NET-коде имел специфичные названия методов, соответствующие тематике, таким как морские исследования. Процесс распаковки растровых ресурсов в сборки и деобфускация кода представлен на диаграммах, показывая структуру и работу вредоносных приложений.

Злоумышленники используют сложные методы обфускации и шифрования для защиты своих вредоносных приложений и обмана аналитиков. Изучение технических методов позволяет более эффективно бороться с такими киберугрозами и обнаруживать вредоносные атаки заранее.

IPv4 Port Combinations

• 103.198.26.222:9373
• 176.65.144.154:3077
• 67.203.7.163:3320

Domain Port Combinations

• hosting2.ro.hostsailor.com:587
• mail.gtpv.online:587
• myhost001.myddns.me:9373
• nffplp.com:587

URLs

• http://www.sixfiguredigital.group/aoc3/
• http://www.yperlize.net/aa02/

Emails

• [email protected]
• [email protected]
• [email protected]
• [email protected]
• [email protected]
• [email protected]

SHA256

• 30b7c09af884dfb7e34aa7401431cdabe6ff34983a59bec4c14915438d68d5b0
• 3b83739da46e20faebecf01337ee9ff4d8f81d61ecbb7e8c9d9e792bb3922b76
• 511af3c08bd8c093029bf2926b0a1e6c8263ceba3885e3fec9b59b28cd79075d
• 5487845b06180dfb329757254400cb8663bf92f1eca36c5474e9ce3370cadbde
• 5adff9ae840c6c245c0a194088a785d78d91fe734ee46a7d51605c1f64f6dadd
• 604cbcfa7ac46104a801a8efb7e8d50fa674964811ec7652f8d9dec123f8be1f
• 8146be4a98f762dce23f83619f1951e374708d17573f024f895c8bf8c68c0a75
• 98195a4d27e46066b4bc5b9baea42e1e5ef04d05734c556d07e27f45cb324e80
• 9ed929b60187ca4b514eb6ee8e60b4a0ac11c6d24c0b2945f70da7077b2e8c4b
• a4a6364d2a8ade431974b85de44906fe8abfed77ab74cc72e05e788b15c7a0cf
• ac5fc65ae9500c1107cdd72ae9c271ba9981d22c4d0c632d388b0d8a3acb68f4