Remcos RAT обнаружили в инфраструктуре компании из сферы юридических услуг. Вредоносный инструмент удалённого доступа даёт почти полный контроль над системой. С его помощью можно собирать ввод с клавиатуры, изображения с экрана и веб-камеры, а также учётные данные. Для юридической фирмы это означает риск утечки клиентских сведений и потери контроля над рабочей станцией. Есть подтверждение как минимум одного такого случая, но масштаб активности пока не раскрыт. В этом инциденте использовалась версия 3.3.2 Pro.
Описание
Началом атаки стало вложение Excel с поддержкой макросов. Файл требовал пароль и выглядел как платёжное поручение. Почтовым шлюзам защита паролем мешает проверять содержимое. Ссылки и вложения в таком документе остаются вне осмотра. Поэтому вредоносный файл мог дойти до сотрудника, хотя обычные проверки не сработали. Макросы в документе запускали следующий этап цепочки. Пароль мог быть указан в письме, но в отчёте этот момент не раскрыт.
После открытия документа запускался PowerShell - штатная среда Windows для выполнения сценариев. Он обращался к внешнему узлу и загружал удалённый скрипт. Дальше сценарий загружал дополнительные компоненты. Цепочка состоит из нескольких этапов, и каждый следующий запускался только после предыдущего. Это усложняет обнаружение: на каждом шаге в системе появляется новый элемент. Отдельная установка для PowerShell не нужна. Каждый этап оставляет отдельный след, но по отдельности они выглядят обыденно.
Remcos, по данным eSentire, продаётся как легальный инструмент удалённого администрирования. Отчёт вышел 28 января 2022 года. Из него следует, что цепочка заражения была выстроена в несколько этапов. Статус легального продукта помогает программе маскироваться под полезное ПО для удалённой поддержки. Другие отрасли в отчёте не упомянуты. В отчёте описан один подтверждённый случай, без оценки числа попыток.
Загруженный скрипт закреплял вредоносное ПО в системе через ключ автозапуска в реестре. После перезагрузки Remcos возвращается благодаря этому приёму. Пользователь может не замечать повторного запуска, если не проверять автозагрузку. Закрепление делает удаление сложнее: недостаточно закрыть процесс. След автозапуска остаётся в реестре до ручной очистки. Автозапуск срабатывает при входе пользователя в систему. Такой механизм переживает перезагрузку и не требует повторного открытия документа.
Remcos работал внутри легитимного процесса Windows. Сторонний процесс не выглядит подозрительным для поверхностной проверки. Команды PowerShell выявил классификатор BlueSteel, работающий на машинном обучении. Он обратил внимание на сценарии, которые запускал Remcos. Дополнительные этапы исполнения заметила система мониторинга конечных точек. Без такого контроля вредоносная активность не отличается от работы штатных служб. Классификатор анализирует поведение сценариев, а не только имя файла.
Обнаружение самого документа оставалось слабым. К моменту проверки вложение определяли лишь две системы на VirusTotal. Собранные данные RAT сохраняет в профиле пользователя: журнал нажатий клавиш и медиафайлы. Это оставляет следы на диске, но не показывает, успел ли сбор состояться. Не установлено, сколько организаций затронуто и была ли активность частью серии. Также нет подтверждения, что данные успели похитить. В отчёте нет данных о других пострадавших и не указано, продолжается ли рассылка. Остаётся неясным, получали ли сотрудники другие похожие письма.
Индикаторы компрометации
