Компания Palo Alto обнаружила ранее неизвестный загрузчик, использующий скриптовый движок Pascal, встроенный в Inno Setup.
Описание
- Этот загрузчик распространяет инфопохитителей, включая LummaC2, DeerStealer, Rhadamanthys и StealC.
- Специалисты Palo Alto часто видят этот загрузчик на вредоносных веб-сайтах, которые выдают себя за легитимные приложения.
- Загрузчик содержит функциональность анти-VM.
- Он шифрует строки с помощью простого XOR.
- Загрузчик получает полезную нагрузку с tinyurl[.]com, используя токен аутентификации.
- Последующие полезные нагрузки часто размещаются на взломанных сайтах WordPress.
- Это приводит к HijackLoader для DeerStealer.
Пример:
- Сайт поддельного программного обеспечения ведет к начальному загрузчику, размещенному по адресу: hxxps[:]//markethub[.]sbs/Setup_last_update_package_build_runtime_v7.13_final_edition.exe
- Загрузчик получает файл с именем netsh.zip из: hxxps[:]//tinyurl[.]com/26ztenjm
- Загрузчику требуется токен аутентификации для получения вторичной полезной нагрузки ('rentry-auth': '43de110e576b521c5ec5cd65').
- Третья полезная нагрузка (HijackLoader) извлекается из:
- hxxps[:]//getwheretostay[.]com/wp-content/uploads/2025/04/DUHECNXC.zip
- Вышеуказанный zip-файл защищен паролем: aa5A506Fb104406E305d728A795a665ABFb105A3DaBF5bCF987Eb24052C2df8E
- Выброшенные полезные грузы находятся по адресу: C:\ProgramData\serviceSuperxw
Индикаторы компрометации
