Поддельный финансовый отчёт из WhatsApp заражает Windows через подписанную программу KuGou

Компонентов два, и они резко отличаются друг от друга. Первый - программа, подписанная действующим цифровым сертификатом китайской компании Guangzhou Kugou Technology. Windows показывает подпись как корректную. Внутренние сведения о файле называют его продуктом KuGou версии 1.0.0.50 с китайскими языковыми ресурсами. Сертификат выдан реальной организации, поэтому проверка цифровых подписей подлога не замечает. Второй компонент - библиотека без подписи, которая выдаёт себя за системный компонент Windows для управления окнами. Ничего общего с музыкальным приложением KuGou в ней нет. Подписанный файл и его неподписанный спутник работают в паре, и на этой паре держится вся доставка.

По данным Pelagosx, подписанная программа обращается напрямую к библиотеке. Она вызывает из неё две процедуры, названия которых отсылают к слежению за рабочим столом. Одна включает наблюдение, вторая его снимает. Сама библиотека уходит в запутанную ветку инициализации. Имена системных функций она получает не обычным способом, а через идентификаторы, похожие на хеши. Часть данных расшифровывается простой операцией над байтами. Затем код находит собственный исполняемый раздел. Блок размером 11 200 байт преобразуется и переносится в память, пригодную для запуска. Посторонний наблюдатель видит в этот момент только работу подписанного приложения.

Поведение при запуске дополняет картину. Оба файла копируются в профиль пользователя, в папку, замаскированную под служебный каталог обновлений Microsoft. Имена файлов при этом не меняются. Каталог выбран не случайно: внутрь системных папок владельцы компьютеров заглядывают редко. В реестре появляется запись автозапуска с именем, повторяющим название системного обновления. Она заставляет программу стартовать при каждом входе в систему. Такой приём называют закреплением: вредоносная программа переживает перезагрузку и не требует повторного запуска вручную. Маскировка под обновления снижает подозрения у владельца машины.

Обращения к серверу идут с постоянным интервалом. Программа десятки раз пыталась связаться с одним и тем же адресом по защищённому порту 443. Повторы шли примерно каждые три секунды, в одном из прогонов зафиксировано 96 попыток. Ровный ритм говорит о том, что код ждал ответа сервера, а не действовал наугад. Расшифрованный блок на 11 200 байт совпал по размеру с преобразованным участком кода. Внутри нашлась метка начала настроек, адрес сервера, номер порта и название группы по умолчанию. Название группы записано китайскими иероглифами. Часть полей осталась нерасшифрованной.

Компания CloudSEK ранее описала похожую кампанию Silver Fox против Индии. Там программу ValleyRAT доставляли через подписанный файл Thunder от Xunlei вместе с подменённой библиотекой. Совпадают сразу несколько приёмов. Это опора на подпись легитимного производителя и настраиваемые параметры связи с сервером. Сюда же относятся повторы подключений, хранение настроек в реестре и запуск кода в памяти. Совпадения полезны для понимания почерка, но точным подтверждением общей кампании они не стали. Набор возможностей разобранной цепочки широк: работа как нативная программа Windows; загрузка библиотеки подписанным файлом; скрытое получение адресов системных функций; расшифровка строк; подготовка кода в памяти; криптографическая обработка данных; размещение файлов в профиле пользователя; автозапуск через реестр; опрос сведений о рабочем столе, экране и клавиатуре; повторные подключения.

Выводы об авторстве нельзя строить на одной строке или одном имени файла. Внутренние сведения о сборке подписанной программы содержат путь к отдельному узлу сборки. Проект связан с наблюдением за рабочим столом. Такая метка помогает находить родственные образцы, но сама по себе не называет заказчика. Действительная подпись тоже не гарантирует безопасности: сертификат могли выдать на подставную структуру или похитить. Надёжнее опираться на сочетание признаков. Это действующая подпись крупного разработчика, парная библиотека с чужим именем и запутанный загрузчик. К ним добавляются обработка конфигурации во время работы, размещение файлов в пользовательском каталоге, автозапуск через реестр и обращения к фиксированному адресу с ровным ритмом повторов.

Практические меры остаются прежними. Обновляйте Windows и офисные приложения. К архивам из мессенджеров относитесь с осторожностью, даже если отправитель знаком. Имя файла ничего не говорит о содержимом. Просматривайте записи автозапуска и удаляйте те, что ведут в пользовательские папки с системными названиями. Двухфакторная аутентификация снижает ущерб, если пароли уже утекли. Организациям полезно ограничить исходящие подключения к неизвестным адресам. Отдельного внимания требуют исполняемые файлы, появляющиеся в каталогах с системными названиями. Просьбу переслать отчёт на проверку лучше подтверждать по другому каналу связи.