Новое вредоносное ПО SloppyRAT атакует компании через поддельные страницы "исправления ошибок"

Схема обмана известна как ClickFix. Это приём, при котором жертву убеждают самостоятельно запустить нужную злоумышленнику команду. Посетителю показывают окно с сообщением о сбое и "готовым решением". Человек копирует строку и вставляет её в системное окно команд. На деле запускается устаревшая служебная утилита Windows, которая обращается к внешнему серверу по протоколу Finger. Этот протокол почти не применяется в современных сетях, но по умолчанию доступен в системе. Через него загружается пакетный файл. Затем копия штатной утилиты для скачивания данных переносится в пользовательскую папку и получает безобидное с виду имя. С её помощью на компьютер попадает легитимный интерпретатор языка Python из открытого репозитория. Он выполняет сжатый и закодированный сценарий, а тот разворачивает промежуточную программу-загрузчик и ещё один инструмент удалённого управления. Финальный шаг - загрузка самого SloppyRAT прямо в оперативную память, без сохранения файла на диск. Поэтому привычная проверка файлов на диске ничего не показывает.

Разработчики предусмотрели несколько способов усложнить разбор. Программа шифрует строки тремя разными методами, а ключи меняет от строки к строке. Тринадцать служебных блоков кода она хранит в зашифрованном виде и раскрывает только во время работы. Часть кода не выполняет полезных действий и служит исключительно для запутывания. Кроме того, программа обращается к системным функциям напрямую, минуя стандартные механизмы Windows. Это снижает эффективность защитных решений, которые перехватывают такие обращения. Имена нужных функций при этом отсутствуют: остаются лишь их числовые отпечатки.

Связь с управляющим (командно-контрольным) сервером идёт по защищённому каналу. Как отмечается в отчёте Zscaler ThreatLabz, программа сверяет сертификат сервера с заранее заданным значением и разрывает соединение при несовпадении. Это не позволяет системам сетевого мониторинга проверять трафик методом "человек посередине" - атакой, при которой злоумышленник встраивается между двумя сторонами обмена. Дополнительно предусмотрен резервный способ поиска адреса управляющего сервера. Сведения о нём размещают в записях публичного блокчейна Polygon. Такой приём называют EtherHiding, то есть сокрытие данных в распределённом реестре, который невозможно отключить или изъять. По замыслу авторов, это затрудняет блокировку инфраструктуры. Однако механизм, судя по всему, ещё не доработан. Ни в одном образце не найден адрес смарт-контракта, то есть программы, размещённой в блокчейне, а код пока умеет работать лишь с отдельным её фрагментом.

Набор средств управления заражённой машиной широк. Оператор может выбрать один из нескольких режимов исполнения задач. В ответ программа возвращает результат вместе с кодом завершения. Отдельный режим позволяет использовать заражённый компьютер как промежуточный узел для доступа к другим системам внутренней сети. Помимо этого, SloppyRAT умеет выполнять команды через встроенный интерфейс управления Windows. Промежуточные результаты она складывает во временный файл и маскирует его под изображение: у файла соответствующее расширение и заголовок картинки. Если запустить полноценную оболочку не удаётся, программа создаёт обычный процесс командной оболочки PowerShell (средства автоматизации задач в Windows), но выдаёт его за дочерний процесс проводника. Такой приём называют подменой родительского процесса. Он помогает обмануть средства защиты, которые оценивают происхождение запущенных программ.

Особый интерес представляет встроенный набор команд. Их 47, и по написанию они похожи на команды оболочки PowerShell. Однако реализованы они внутри самой программы и работают напрямую с системными функциями. С их помощью можно узнать имя пользователя и компьютера, версию системы, перечень запущенных процессов и служб, список локальных учётных записей, содержимое реестра. Доступны также проверка сетевой доступности узла, поиск сетевых имён, чтение файлов, создание ярлыков и загрузка файлов из интернета. Отдельные команды позволяют запросить состояние встроенного антивируса Microsoft Defender и отключить его защиту в реальном времени. В части образцов этот набор отсутствует, и тогда размер программы уменьшается примерно на 400 килобайт.

Встроенный механизм закрепления в системе работает с ошибками. Программа пытается прописать себя в автозапуск через реестр и через подмену системного компонента. В обоих случаях она указывает неверный путь к нужному файлу. При подмене компонента программа создаёт новый идентификатор вместо замены существующего, и приём теряет смысл. Поэтому после перезагрузки часть образцов работу не возобновляет. Эти и другие дефекты указывают на стадию разработки. В коде встречаются лишние функции и неаккуратные решения.

При этом имеющихся возможностей достаточно для сбора сведений о сети, разведки и бокового перемещения. Для операторов программ-вымогателей это ценный промежуточный инструмент. Защита здесь требует комплексного подхода. Стоит ограничить исходящие соединения по устаревшим протоколам, которые не используются в работе. Пользователям полезно напомнить: ни один сайт не вправе требовать ручного ввода команд в системное окно. Помогают своевременное обновление программ, контроль за запуском интерпретаторов на рабочих станциях и двухфакторная аутентификация для доступа к важным ресурсам. Мониторинг обращений к узлам блокчейна из корпоративной сети тоже даёт полезный сигнал, поскольку легитимные рабочие задачи редко требуют такого трафика.