Вредоносная программа для Windows несёт в себе законченный инструмент удалённого доступа. Загрузчик на Rust доставляет Java-приложение, которое открывает оператору камеру, рабочий стол и сохранённые в браузерах пароли заражённой машины. Схема из двух частей усложняет обнаружение.
Описание
Сам исполняемый файл выглядит безобидно. Основной модуль собран для 64-битной Windows, и по внутреннему устройству это чистый загрузчик: полезная нагрузка лежит в служебной секции образа, где обычно хранятся статические строки и таблицы. При запуске код находит эти данные, распаковывает и записывает на диск вместе с вспомогательными файлами. Все они названы OpenRoaming - имя маскирует инфраструктуру под служебный сетевой профиль.
По данным SonicWall, извлечённый архив содержит законченный троян удалённого доступа с собственной нумерацией версий. Управление идёт через удалённую оболочку: команды исполняются в командной строке Windows или в PowerShell. Второй вариант получает их закодированными и запускает в обход политики выполнения скриптов. Связь с сервером управления держится на регулярных запросах, которые одновременно подтверждают, что агент жив.
Отдельная часть схемы - среда выполнения Java. Сначала загрузчик пытается скачать её со своего сервера, а если запрос не проходит, обращается к публичному сервису распространения Java. Встроенная конфигурация прямо запрещает брать системную Java: среда не зависит от того, что установлено на машине.
Возможности Java-компонента шире удалённой оболочки. Он перехватывает нажатия клавиш, транслирует рабочий стол, включает веб-камеру и работает с файлами. Ещё один модуль собирает учётные данные, которые браузеры хранят для автозаполнения. В коде нашлись также операции с памятью процессов и повышение привилегий. Набор активных функций задаёт сервер управления.
Для автозапуска загрузчик прописывает две записи в ветке реестра Windows, отвечающей за старт программ при входе пользователя. Первая поднимает основной файл, вторая вызывает скрипт восстановления через сервер сценариев Windows. Если основной файл удалить, скрипт возвращает его вместе с полезной нагрузкой из резервных каталогов и перезапускает без окон. Копии лежат отдельно, поэтому удаление одного файла картину не меняет.
Рядом работает задача планировщика: она срабатывает каждую минуту. Скрипт-сторож проверяет, жив ли процесс, и при необходимости восстанавливает удалённые файлы. Перед этим он смотрит на несколько файлов-маркеров. Их появление, судя по логике кода, останавливает всю конструкцию - вероятно, это выключатель для оператора. Средства защиты распознают угрозу как JavaRat.A. Каким путём загрузчик попадает на машины и насколько широко применяется, в публикации не раскрывается.
Индикаторы компрометации
