Пятиэтапная цепочка заражения заканчивается запуском AsyncRAT, программы удалённого доступа. Вредоносный код работает внутри штатного процесса Windows. Начинается всё с файла, который маскируется под счёт-фактуру. Главная цель схемы - незаметно собирать данные с компьютера жертвы. Аудитория атаки - офисные сотрудники, бухгалтеры и все, кто регулярно получает счета по электронной почте.
Описание
Первый шаг делает сам пользователь. Он открывает вложение в письме либо переходит по ссылке. Формально запускается обычный служебный файл. Однако он лишь создаёт видимость рутинной операции. Скрытно, без окна на экране, стартует PowerShell, встроенная в Windows среда выполнения сценариев. Далее команды исполняются уже без участия человека. Кроме того, применяются и другие каналы: поддельные страницы входа, взломанные программы, сообщения в мессенджерах и социальных сетях.
Исследование Point Wild Threat Intelligence показало, что полезная нагрузка собирается прямо на машине жертвы. Сначала её разбивают на десять фрагментов. Затем в текст добавляют посторонние символы. Так обманывают автоматические проверки, которые ищут осмысленные образцы кода. Лишние знаки удаляются уже во время работы. После этого данные расшифровывают простым ключом, который повторяется. Серьёзной защиты такой приём не даёт. Его задача - превратить содержимое в набор случайных знаков.
Итог первого этапа - три файла в случайно названной папке во временном каталоге пользователя. Первый из них - легитимный подписанный интерпретатор AutoIT с изменённым именем. Второй - сценарий для него. Третий - зашифрованная нагрузка без расширения. Подписанный интерпретатор нужен для маскировки. Антивирус видит доверенную программу и не блокирует запуск. При этом сама по себе она безвредна. Всю логику содержит отдельный сценарий. Он собирает имена системных функций прямо во время работы. Поэтому привычные строки, по которым обычно ищут угрозу, в файле отсутствуют.
Закрепление в системе сделано без лишних сложностей. В папку автозагрузки пользователя помещается командный файл. Он заново запускает пару файлов при каждом входе в систему. Права администратора не нужны. Ключи реестра и задания планировщика не используются. Такой способ реже привлекает внимание защитных средств. После успешного внедрения временные файлы обычно удаляются.
Второй этап - расшифровка нагрузки прямо в памяти. С диска она не читается. Затем код внедряется в штатную утилиту Windows "Таблица символов". Это подписанная программа Microsoft, и она редко вызывает подозрения. В результате сетевые соединения и сбор сведений выглядят как действия доверенного процесса. Дополнительно отключается служебный механизм Windows, отвечающий за антивирусную проверку сценариев и загружаемых сборок. Проверка содержимого просто не происходит. Отдельного упоминания стоит деталь с ожиданием: сценарий выжидает около восьми секунд, пока антивирус отпустит файл после записи.
Следующие этапы снимают ещё несколько слоёв защиты. Каждый уровень расшифровывает данные и передаёт результат дальше. Наблюдение в изолированной среде подтвердило главное: в памяти процесса появляется полноценный исполняемый модуль, которого нет на диске. Найти его обычной проверкой файлов невозможно. Дополнительно загружается среда .NET, платформа Microsoft для запуска программ. Это соответствует финальной сборке AsyncRAT.
Финальный этап - сама программа удалённого доступа. Она умеет делать снимки экрана, собирать сведения о системе и передавать их на командный сервер. Связь идёт по прямому соединению TCP (базовому транспортному протоколу интернета) через нестандартный порт. Маскировка под обычный защищённый веб-трафик отсутствует. Снимки экрана кодируются в памяти и отправляются туда же. В момент наблюдения соединение ещё не было установлено. Поэтому часть возможностей оценивалась по коду.
Последствия для организации зависят от того, какие данные окажутся доступны атакующим. Чаще всего речь идёт об учётных данных сотрудников, переписке, внутренних документах и изображениях рабочего стола. На их основе готовятся новые атаки: целевые рассылки от имени коллег, попытки входа в банковские сервисы, мошеннические операции. Для бизнеса это оборачивается простоями, претензиями регуляторов и потерей доверия клиентов.
Общая логика укладывается в известные категории MITRE ATT&CK, публичной базы описаний приёмов атакующих. Речь идёт о целевом фишинге с вложением, запуске файла самим пользователем, закреплении в автозагрузке, обходе защитных механизмов, сборе данных и управлении извне. Набор техник меняется от сборки к сборке. Однако последовательность действий остаётся узнаваемой.
К мерам защиты относятся регулярное обновление Windows и офисных приложений; ограничение запуска сценариев из временных каталогов; запрет прямого открытия вложений из почты; периодическая проверка папки автозагрузки; двухфакторная аутентификация. Кроме того, помогают средства контроля поведения. Они реагируют на подозрительные действия, а не только на известные подписи.
Атака опирается на доверие к подписанным программам. Именно поэтому подпись разработчика перестаёт быть гарантией безопасности. Обнаружить такую активность помогает наблюдение за поведением процессов. Подозрение вызывают запуск интерпретаторов из временных каталогов, скрытые окна, внезапные снимки экрана и соединения с внешними адресами на нестандартных портах.
Индикаторы компрометации
