Группа исследователей кибербезопасности из Censys обнаружила масштабную фишинговую кампанию, использующую сложную многоступенчатую систему заражения для распространения вредоносного ПО. Атака начинается с загрузки сильно обфусцированных VBS-скриптов, которые затем запускают цепочку действий, приводящих к установке троянов удаленного доступа (RAT), таких как Remcos, LimeRAT, DCRat и AsyncRAT.
Описание
Кампания использует трехэтапную схему заражения. На первом этапе жертва получает обфусцированный VBS-скрипт, который декодирует base64-кодированный PowerShell-скрипт. Второй этап включает загрузку дополнительных компонентов, включая инжектор и сам RAT, с различных платформ, таких как Internet Archive, где вредоносный код скрыт в JPEG-файлах, а также с файлообменников вроде paste[.]ee и Bitbucket. На третьем этапе инжектор загружает финальный RAT в память системы.
Командные серверы (C2) используют динамический DNS-сервис duckdns[.]org для ротации IP-адресов, что затрудняет их блокировку. Исследователи также обнаружили возможную связь с APT-C-36 (Blind Eagle) - колумбийской хакерской группировкой, хотя подтвердить это окончательно не удалось.
Одним из ключевых моментов расследования стало обнаружение ошибки злоумышленника: в одном из репозиториев Bitbucket использовался реальный email и никнейм "Shadow GRT", что позволило частично идентифицировать одного из участников кампании.
Эксперты рекомендуют организациям усилить мониторинг подозрительных VBS и PowerShell-скриптов, а также обращать внимание на необычные соединения с динамическими DNS-доменами.
Индикаторы компрометации
