Вредоносная программа SectopRAT распространяется через подмену компонентов легитимного аудиоредактора, который итальянская компания выпускает много лет. Официальный установщик тут ни при чём: производитель не публиковал испорченную версию продукта, его серверы не скомпрометированы. Подмена затронула файлы на одном конкретном устройстве. Такой способ маскировки усложняет обнаружение, потому что вредоносный код лежит рядом с настоящими библиотеками и запускается вместе с ними. Целями подобных атак становятся корпоративные рабочие станции со специализированным программным обеспечением и домашние компьютеры, где хранятся ключи криптовалютных кошельков.
Описание
SectopRAT, известная также под именем ArechClient2, относится к классу программ удалённого доступа (RAT) - вредоносных программ, которые дают оператору постоянное присутствие на чужой машине и набор инструментов для управления ею. Семейство известно давно, и его новые сборки регулярно появляются в атаках на бизнес и частных пользователей.
Подготовка начинается с копирования установленной программы в служебный каталог операционной системы. Этот путь не совпадает со штатным местом установки, и уже одно это должно настораживать. Затем в планировщик заданий Windows добавляется новая запись. По ней компонент отчётности о сбоях запускается автоматически, без участия пользователя, при каждом входе в систему. Один из вспомогательных модулей продукта при этом изменён: в список загружаемых библиотек внесена посторонняя. Она подхватывается при старте приложения и передаёт управление вредоносному коду. Внешне программа работает как обычно, и никаких признаков вмешательства человек не видит.
Загрузка полезной нагрузки построена как многоэтапная схема. Сначала из служебного файла базы данных читается зашифрованный фрагмент. Потом он расшифровывается прямо в памяти и превращается в машинный код. Этот код извлекает из второго файла базы данных основной модуль программы удалённого доступа, готовит среду исполнения и только затем запускает его. Исследование FortiGuard Labs показало, что обращения к системным функциям внутри кода скрыты: вместо прямых имён применяются вычисляемые идентификаторы, всего около двухсот. Приём мешает аналитикам сопоставлять образец с известными семействами и заметно замедляет разбор.
Получив контроль, программа связывается с командно-контрольным сервером, то есть управляющим узлом злоумышленников. Обмен идёт в зашифрованном виде, а ключ встроен в тело программы. Изученный вариант поддерживает 29 команд. С их помощью оператор управляет процессами и файлами, снимает экран, транслирует изображение рабочего стола, выполняет команды в системной оболочке и перезагружает машину. Кроме того, есть команда самоудаления. Перед стиранием собственного файла программа запускает системную утилиту с шестисекундной задержкой, чтобы освободить занятый файл.
Сбор данных начинается по отдельной команде. Программа скачивает с управляющего узла дополнительный модуль и с его помощью читает из браузеров сохранённые пароли, файлы cookie, данные автозаполнения и сведения о банковских картах. Список целей широк. Почти все распространённые обозреватели, почтовый клиент Thunderbird, приложения Steam, Battle.NET и NVIDIA GeForce Experience. Отдельно программа интересуется расширениями-кошельками MetaMask, TronLink и Coinbase Wallet, а также настольными криптокошельками Atomic Wallet, Exodus, Electrum и Daedalus. Собранные сведения упаковываются в единый пакет и уходят на сервер. В пакете указываются имя учётной записи, версия операционной системы и идентификатор сессии. Такая детализация помогает оператору сортировать добытую информацию по машинам.
Если основной адрес не отвечает, программа обращается к одному из двенадцати резервных доменов и получает новый адрес в ответе на обычный веб-запрос. По открытым данным, часть этих доменов связана с майнингом криптовалюты Binance Coin, хотя подтверждений их компрометации нет. Помимо этого, код намеренно запутан: имена классов и переменных заменены случайными наборами символов, а порядок вычислений внутри методов перемешан. Вызовы методов идут через указатели, а не по именам. Разбор такого образца занимает куда больше времени, чем работа с обычным вредоносным файлом.
Следы заражённого каталога обнаружились в служебной папке операционной системы, а не по штатному пути установки. Поэтому проверка целостности файлов на конечных устройствах важнее, чем репутация поставщика: атакующему не нужно компрометировать разработчика, достаточно закрепиться на одной машине. При этом похожие случаи часто поспешно относят к атакам на цепочку поставок, и здесь такой вывод был бы ошибочным. Разработчик не распространял заражённый продукт.
Полный удалённый доступ к рабочей станции открывает разные сценарии: от кражи корпоративной переписки до проникновения во внутреннюю сеть компании. Отдельный риск - криптовалютные кошельки. Потеря ключей означает безвозвратную утрату средств, и вернуть их невозможно. Защита строится на нескольких базовых правилах. Обновляйте операционную систему и прикладное программное обеспечение. Сверяйте список заданий планировщика Windows с известным вам набором. Просматривайте каталоги, где лежат копии знакомых программ: запуск из неожиданного места уже повод для проверки. Ограничивайте права обычных сотрудников, ведь для создания задания в планировщике нужны повышенные привилегии. Включайте двухфакторную аутентификацию во всех сервисах, чьи данные хранит браузер. При первых признаках заражения изолируйте машину от сети и меняйте пароли с другого устройства. В почтовых клиентах и игровых платформах сеансовые токены (ключи доступа, которые приложение хранит вместо пароля) живут долго, поэтому смена пароля без завершения активных сеансов задачу не решает.
Индикаторы компрометации
