Команда Elastic Security Labs обнаружила сложную многоступенчатую вредоносную кампанию, распространяющую модифицированную версию удаленного трояна gh0st RAT. Атака примечательна использованием подписанных драйверов и техник уклонения от систем защиты, включая отключение Microsoft Defender через злоупотребление механизмом Protected Process Light.
Описание
Эксперты по кибербезопасности выявили новую кампанию, связанную с APT-группой Dragon Breath (известной также как APT-Q-27). Злоумышленники используют троянизированные установщики NSIS, маскирующиеся под легитимное программное обеспечение, включая Google Chrome и Microsoft Teams. Основной целевой аудиторией стали китайскоязычные пользователи, что демонстрирует эволюцию тактик этой группы по сравнению с ранее задокументированными операциями 2022-2023 годов.
Многоступенчатый загрузчик, получивший название RONINGLOADER, демонстрирует сложный подход к нейтрализации систем защиты. В частности, используются подписанные драйверы для завершения процессов антивирусных решений. Один из таких драйверов, ollama.sys, имеет действительную цифровую подпись от Kunming Wuqi E-commerce Co., Ltd. с сроком действия с февраля 2025 по февраль 2026 года. При этом анализ показал разнообразие артефактов компиляции среди образцов, что может указывать на утечку сертификата.
Кампания использует несколько методов для обхода систем безопасности. Во-первых, применяется злоупотребление механизмом Protected Process Light для отключения Microsoft Defender. Во-вторых, загружается специальная политика WDAC, блокирующая исполняемые файлы популярных китайских антивирусных решений 360 Total Security и Huorong. Кроме того, используется техника инъекции кода через пулы потоков и фантомные DLL-библиотеки.
Интересной особенностью является наличие избыточного кода в вредоносной программе. Например, обнаружены попытки подключения к локальному порту 5555 и обращение к домену baidu.com, которые не выполняют значимых функций. Вероятно, это свидетельствует о незавершенной разработке или сохраненном коде от предыдущих версий.
Процесс заражения начинается с троянизированного NSIS-установщика, который содержит два вложенных установщика. Один устанавливает легитимное программное обеспечение для маскировки, а второй запускает вредоносную цепочку выполнения. Основная нагрузка скрыта в зашифрованном файле tp.png, который расшифровывается с использованием комбинации операций ROR и XOR.
Для повышения привилегий вредоносная программа использует команду runas, а затем проверяет наличие процессов популярных антивирусных решений. Список целевых процессов включает продукты Kingsoft, Tencent, Qihoo 360 и Microsoft Defender. Для каждого решения применяется индивидуальный подход к нейтрализации.
Особого внимания заслуживает метод борьбы с Qihoo 360 Total Security. Сначала программа блокирует сетевое соединение через настройки брандмауэра, затем внедряет шелл-код в процесс службы теневого копирования томов. Этот код использует подписанный драйвер для принудительного завершения антивирусных процессов. После подтверждения уничтожения защиты настройки брандмауэра восстанавливаются, вероятно, для скрытия следов активности.
Финальная нагрузка представляет собой модифицированную версию gh0st RAT с незначительными изменениями по сравнению с образцами 2022-2023 годов. Троян использует XOR-шифрование для скрытия адреса C2-сервера и порта, а коммуникация осуществляется через raw TCP-сокеты с двусторонним шифрованием сообщений.
Бэкдор обладает широким функционалом, включая выполнение команд, загрузку и запуск файлов, кражу данных из буфера обмена и ведение кейлоггера. Захваченная информация сохраняется в файл %ProgramData%\microsoft.dotnet.common.log с автоматическим ротацией при превышении размера 50 МБ. Отдельно реализован механизм подмены содержимого буфера обмена, который можно настраивать удаленно через C2-канал.
Обнаруженная кампания демонстрирует растущую сложность инструментов, используемых киберпреступниками. Сочетание легитимных подписанных компонентов, техник злоупотребления доверенными процессами и целенаправленной нейтрализации систем защиты представляет серьезную угрозу для корпоративных и частных пользователей. Специалисты по безопасности рекомендуют проявлять особую осторожность при установке программного обеспечения и регулярно обновлять системы защиты.
Индикаторы компрометации
Domains
- qaqkongtiao.com
SHA256
- 1613a913d0384cbb958e9a8d6b00fffaf77c27d348ebc7886d6c563a6f22f2b7
- 1c1528b546aa29be6614707cbe408cb4b46e8ed05bf3fe6b388b9f22a4ee37e2
- 2515b546125d20013237aeadec5873e6438ada611347035358059a77a32c54f5
- 33b494eaaa6d7ed75eec74f8c8c866b6c42f59ca72b8517b3d4752c3313e617c
- 395f835731d25803a791db984062dd5cfdcade6f95cc5d0f68d359af32f6258d
- 3dd470e85fe77cd847ca59d1d08ec8ccebe9bd73fd2cf074c29d87ca2fd24e33
- 4d5beb8efd4ade583c8ff730609f142550e8ed14c251bae1097c35a756ed39e6
- 82794015e2b40cc6e02d3c1d50241465c0cf2c2e4f0a7a2a8f880edaee203724
- 96f401b80d3319f8285fa2bb7f0d66ca9055d349c044b78c27e339bcfb07cdf0
- c65170be2bf4f0bd71b9044592c063eaa82f3d43fcbd8a81e30a959bcaad8ae5
- da2c58308e860e57df4c46465fd1cfc68d41e8699b4871e9a9be3c434283d50b
- fc63f5dfc93f2358f4cba18cbdf99578fff5dac4cdd2de193a21f6041a0e01bc
- fd4dd9904549c6655465331921a28330ad2b9ff1c99eb993edf2252001f1d107
YARA
| 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 | rule Windows_Trojan_DragonBreath_b27bc56b { meta: author = "Elastic Security" id = "b27bc56b-41a2-4b3d-bff4-a14b90debe08" fingerprint = "4bc82f64191cf907d7ecf7da5453258c9be60e5dbaff770ebc22d9629bcbc7e2" creation_date = "2024-06-05" last_modified = "2024-06-12" threat_name = "Windows.Trojan.DragonBreath" reference_sample = "45023fd0e694d66c284dfe17f78c624fd7e246a6c36860a0d892d232a30949be" severity = 100 arch_context = "x86" scan_context = "file, memory" license = "Elastic License v2" os = "windows" strings: $a1 = { 50 6C 75 67 69 6E 4D 65 } $a2 = { 69 73 41 52 44 6C 6C } $a3 = { 25 64 2D 25 64 2D 25 64 20 25 64 3A 25 64 } condition: all of them } |
| 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 | rule Windows_Trojan_RoningLoader_a4e851ac { meta: author = "Elastic Security" id = "a4e851ac-7787-4f75-9aab-32c17c253c7a" fingerprint = "42d19ba97783f3807c096c1d1d5d17052530cc734d680c5baa8fc3c50cc10eee" creation_date = "2025-10-20" last_modified = "2025-11-03" threat_name = "Windows.Trojan.RoningLoader" reference_sample = "c84764a19543e9bdfe06263d3dd68bbf9df381bbe4d0c0da480bc4eddea293b6" severity = 100 arch_context = "x86" scan_context = "file, memory" license = "Elastic License v2" os = "windows" strings: $binary0 = { 48 89 45 80 8B 05 C5 E8 0C 00 48 0F 47 4C 24 70 66 89 04 51 48 8D 44 24 70 66 44 89 6C 51 02 } $str0 = "Successfully created PPL process with PID: " wide fullword $str1 = "C:\\Windows\\System32\\ClipUp.exe" wide fullword $str2 = "regsvr32.exe /S" condition: $binary0 or all of ($str*) } |
