Под видом установщика MetaTrader 4 злоумышленники распространяют сборку с Rust-загрузчиком и модулем удалённого доступа семейства SilverFox. Пользователь видит привычное окно установки, а на машине в это время прописывается бэкдор. В группе риска трейдеры, которые скачали архив из стороннего источника, а не с сайта MetaQuotes.
Описание
Архив с установщиком содержит единственный исполняемый файл. Внутри него через контейнер ExeBundler лежат два компонента: подлинный MetaTrader 4 с действительной подписью MetaQuotes и вредоносный WinConnectService.exe на Rust. Загрузчик распаковывает оба во временный каталог, и первым открывается настоящий установщик. Вредоносный процесс стартует уже в фоне, когда окно установки закрыло собой экран.
По данным Центра угроз Rising, доставка шла с домена, не связанного с MetaQuotes. Подпись внутри сборки подлинная, поэтому проверка цифровой подписи ничего не покажет: подписан настоящий установщик, а не весь архив целиком. Для защитных средств, которые сверяют только подпись установщика, такой архив выглядит легитимным.
Перед закреплением загрузчик проверяет права через net session. Дальше он выбирает один из двух путей: задачу в планировщике или пользовательский сценарий входа в систему. Второй вариант привязан к входу пользователя и срабатывает при каждом новом сеансе. Оба пути не создают новую службу, поэтому проверка списка служб ничего не покажет.
Из зашифрованного блока загрузчик достаёт сетевой адрес, скачивает по нему файл с видом конфигурации и запускает его прямо из памяти. На диск полезная нагрузка не оседает. Для маскировки загрузчик дополнительно обращается к новостному ресурсу CISA: такой запрос разбавляет картину трафика и не выглядит аномалией.
Скачанный файл только выглядит конфигурацией. По сути это загрузчик модуля с взаимной аутентификацией: он поднимает TCP-соединение, получает сжатый модуль по частям, расшифровывает его и держит в памяти. Точка входа вызывается лишь после сборки всех частей, поэтому до последнего момента на хосте нет ничего, что похоже на полезную нагрузку.
Модуль выполняет команды, работает с файлами, снимает экран и перехватывает клавиатуру с буфером обмена. Отдельно он управляет службами и правилами firewall. Для трейдера это оборачивается не только потерей доступа к терминалу, но и утечкой всего, что попало в буфер обмена или было набрано на клавиатуре.
Открытым остаётся вопрос масштаба: сколько машин затронуто и как долго работала доставка, не сообщается. Не установлено и то, кто стоит за кампанией. Ясна пока связка из подлинной подписи, контейнера с двумя файлами и цепочки из двух загрузчиков, где второй получает модуль уже по сети.
Цепочка интересна сочетанием легитимной подписи и вредоносной начинки: установщик MetaTrader 4 действительно подписан MetaQuotes, поэтому проверка подписи сама по себе ничего не доказывает. WinConnectService.exe не оставляет исполняемый файл на диске после запуска и маскирует сетевую активность под обычный браузер. Ищите аномалии в родительских процессах: установщик из временного каталога, запускающий другой процесс без окна, и обращения к 5188 сразу после установки. Если хост уже заражён, недостаточно удалить файлы: нужно проверить задачи планировщика, ключ UserInitMprLogonScript и сбросить учётные данные, к которым мог получить доступ модуль.
Индикаторы компрометации
