Программа для кражи информации Vidar получила защиту, которая заметно усложняет разбор её кода. Внутри вредоносной программы теперь работает собственный интерпретатор. Он выполняет не привычные команды процессора, а свой набор простых операций, понятный только самой программе. Посторонний наблюдатель вместо читаемого кода видит набор бессмысленных на первый взгляд инструкций. Смысл такой конструкции очевиден: прожить незамеченной как можно дольше и успеть забрать данные у жертвы.
Описание
Распространяют её привычными способами. Это фишинговые письма с вложениями, а также сайты, где под видом взломанных программ, игровых читов и активаторов предлагают скачать установщик. После запуска такой файл либо сразу разворачивает вредоносную программу, либо подгружает её с сервера злоумышленников. Пользователь при этом наблюдает обычную установку обещанного приложения. Ничего подозрительного на экране не появляется.
По данным Splunk Threat Research Team, ключевая особенность этой версии - собственная виртуальная среда, которая скрывает наиболее чувствительные участки логики. В первую очередь это касается расшифровки строк и работы с командными серверами. Вместо машинных команд программа подставляет свои собственные, а специальный обработчик разбирает их по ходу выполнения. Такой слой абстракции скрывает реальный порядок действий и надолго задерживает анализ. Чтобы снять защиту, специалисты применили эмуляцию: воспроизвели выполнение виртуальных инструкций в изолированной среде и получили расшифрованные строки и скрытые фрагменты. Полная реконструкция движка при этом не потребовалась. Тот же подход позволяет быстрее понять, что именно программа делает на заражённой машине.
Перед тем как приступить к краже, Vidar оценивает обстановку. Программа просматривает список запущенных процессов и ищет среди них около двух десятков защитных решений: от потребительских антивирусов до корпоративных агентов. Затем она сверяет имя компьютера и имя учётной записи с типичными именами тестовых стендов. Количество логических процессоров тоже служит подсказкой: два ядра выдают простую лабораторию. Небольшой объём диска или памяти усиливает подозрения. Отдельно проверяется доступ в интернет: программа обращается к общедоступным службам и смотрит, приходит ли настоящий ответ. Если среда выглядит искусственной, вредоносная программа меняет поведение или вовсе останавливается.
Защита от анализа включает и проверку на отладчик. Программа запрашивает у операционной системы сведения о том, не наблюдает ли кто-то за её процессом извне. Смотрит она и на служебные признаки, которые Windows выставляет при запуске приложения под отладчиком. Ещё один приём - измерение времени: отдельные участки кода под наблюдением выполняются заметно дольше, и это выдаёт исследователя. Помимо этого, программа проверяет, не загружены ли в её память библиотеки систем мониторинга. Каждая из проверок по отдельности даёт лишь косвенный сигнал. Вместе они формируют достаточно надёжный фильтр.
Набор целей у программы широкий. Vidar вытаскивает сохранённые логины и пароли из браузеров, историю посещений, файлы cookie и данные платёжных карт. Он разбирает расширения браузеров и достаёт оттуда ключи криптовалютных кошельков и записи менеджеров паролей. Отдельная цель - файлы с кешем токенов аутентификации Azure, которые оставляют после себя консольные инструменты и PowerShell. Такие токены дают доступ к облачным ресурсам без пароля владельца. Кроме того, программа забирает сведения о подключениях к FTP-серверам, сохранённые в настройках файлового клиента, и делает снимок экрана. Изображение помогает увидеть то, что не лежит в файлах.
Для сбора и закрепления используются штатные средства Windows. Программа пытается получить привилегию отладки, которая позволяет заглядывать в чужие процессы. Она копирует ссылки на процессы с более высокими правами, чтобы читать их память. Чтобы открыть заблокированные базы браузеров, она через системный механизм перезапуска находит приложения, которые держат эти файлы, и затем обращается к ним. Браузер на базе Chrome запускается на отдельном рабочем столе, скрытом от пользователя. Дополнительные модули подгружаются через штатную системную утилиту. Собранное уходит на сервер управления, в том числе через Telegram.
После завершения работы программа удаляет свои временные файлы, журналы, конфигурации и собранные данные. Команда удаления запускается без запроса подтверждения, поэтому следов остаётся меньше. Регулярное обновление браузеров и офисных приложений снижает шансы на заражение. Ограничение запуска сторонних установщиков лишает кампанию основной приманки. Контроль обращений к файлам с токенами облачных сервисов помогает вовремя заметить кражу учётных данных. Многофакторная аутентификация не даёт воспользоваться даже украденным токеном. Отдельного внимания требуют учётные записи с высокими правами: именно они открывают злоумышленнику путь к остальной инфраструктуре.
Индикаторы компрометации
