Злоумышленники все чаще используют тактику Living off the Land (LOTL), что буквально означает "жизнь за счет земли". Её суть заключается в эксплуатации легитимного программного обеспечения и встроенных функций операционных систем для достижения вредоносных целей. Этот подход позволяет эффективно маскироваться в системе, поскольку активность программ вроде curl.exe или установщика WinRAR редко вызывает подозрения.
Описание
Недавний анализ троянца от малоизвестной, но технически продвинутой APT-группировки Librarian Ghouls, также известной как Rare Werewolf, показал исключительную изощренность этой методики. Их инструмент представляет собой не отдельный вредоносный файл, а сложный многоступенчатый конвейер, где каждый этап использует либо легальные утилиты, либо действия, имитирующие легитимные процессы.
Цепочка заражения начинается с файла, упакованного с помощью установщика Smart Install Maker. После распаковки в системе появляются четыре ключевых файла: any.bat, pdf2.pdf, url.txt и find.exe. Примечательно, что последний является легитимной копией curl.exe - популярного инструмента для передачи данных. Файл pdf2.pdf содержит лишь платежное поручение без вредоносных скриптов, выполняя роль отвлекающего маневра.
Далее происходит генерация find.cmd через множественные скрытые вызовы cmd.exe. Каждый вызов добавляет в скрипт по одной команде echo, постепенно формируя полноценный вредоносный сценарий. Затем параллельно запускаются any.bat и find.cmd. Первый скрипт устанавливает пароль для AnyDesk, а второй загружает дополнительные компоненты с контролируемого злоумышленниками домена winformation[.]ru.
Критически важным этапом становится выполнение bat.bat, который содержит основную логику атаки. Скрипт начинает с отключения спящего режима системы - классический прием для обеспечения постоянной работы вредоносных компонентов. Затем с помощью утилиты blat.exe на контролируемый злоумышленниками почтовый ящик отправляется конфигурационный файл AnyDesk, содержащий данные для удаленного доступа.
Последовательно извлекаются и запускаются инструменты для сбора данных: dc.exe, wbpv.exe и mlpv.exe. Их работа сохраняется в текстовые файлы, которые затем передаются через SMTP-сервер злоумышленников. Особое внимание уделяется краже паролей из браузеров и данных почтовых клиентов, что демонстрирует целевой характер атаки.
Финальная стадия включает масштабную зачистку следов: удаляются временные файлы, добавляются правила в брандмауэр для порта AnyDesk, полностью отключается защита Windows. В результате система остается с установленным AnyDesk для удаленного доступа, но без явных следов вредоносной активности.
Реверс-инжиниринг основного загрузчика показал, что ключевой механизм скрытности реализован через структуру STARTUPINFO с установленным флагом wShowWindow в значение SW_HIDE. Это объясняет "невидимое" создание окон cmd.exe во время генерации вредоносных скриптов.
Данный случай наглядно демонстрирует, что современные киберугрозы эволюционировали от примитивных вирусов к сложным многоэтапным операциям. Борьба с такими атаками требует смещения акцента с сигнатурного анализа на мониторинг поведения системы и выявление подозрительных комбинаций легитимных процессов. Как показало расследование, даже самые безобидные системные утилиты могут стать инструментом полной компрометации инфраструктуры.
Индикаторы компрометации
