Компания Solar 4RAYS, центр исследования киберугроз, выявила новую волну фишинговых атак в России с использованием вредоносной программы DarkWatchman RAT. Атаки, начавшиеся в середине февраля, продолжаются в течение марта.
Описание
DarkWatchman RAT - это троян удаленного доступа на основе JavaScript, предназначенный для проникновения в системы и сбора конфиденциальной информации. Основная функция этого трояна - кейлоггер, бесшумно записывающий нажатия клавиш для получения паролей и других ценных данных. Кроме того, вредоносная программа обладает функциями бэкдора, позволяющими атакующим брать под контроль зараженные системы и выполнять команды.
Это не первый случай использования DarkWatchman RAT в фишинговых кампаниях. Случаи использования этого вредоносного ПО были зафиксированы в 2021 году, и до сих пор встречаются единично. Последняя волна атак приняла форму массовых фишинговых писем, рассылаемых различным российским организациям. Письма маскируются под официальные уведомления от Межрайонного отдела судебных приставов по ИПНО г. Москвы и содержат архив, который выглядит как исполнительный лист. Однако при открытии архива устанавливается вредоносный исполняемый файл, приводящий к развертыванию DarkWatchman RAT.
Исполняемый файл, найденный в этих фишинговых письмах, представляет собой 32-битную программу, написанную на языке C/C++ и имеющую недействительную цифровую подпись. Названный Native Loader, этот файл действует как загрузчик, который расшифровывает и исполняет закодированное содержимое в оперативной памяти. Файл маскируется под PDF-документ, чтобы обмануть пользователей. Затем Native Loader декодирует загрузчик .NET, который загружает полезную нагрузку в память. Следующим этапом вредоносной программы является .NET Dropper, который извлекается .NET Loader. Этот дроппер представляет собой обфусцированный исполняемый файл, защищенный .NET Reactor.
Дроппер .NET выполняет различные операции, включая декодирование загрузок и сохранение их в файлы, запуск команды wscript.exe с определенными параметрами, создание библиотеки DLL и реализацию сценария PowerShell, выполняющего роль кейлоггера. Наконец, дроппер запускает DarkWatchman RAT и взаимодействует с управляющими серверами. Для своих операций вредоносная программа использует закодированные массивы чисел.
Индикаторы компрометации
