Кампания, наблюдаемая CERT-AGID, использует PDF-вложение, обычно называемое Document.pdf или Invoice.pdf, содержащее ссылку на облачные сервисы хранения данных, такие как OneDrive или Dropbox, из которых загружается VBS или HTML-файл с обфусцированным, но легко декодируемым кодом.
Описание
Как ранее сообщала компания Fortinet, авторы RAT Adwind недавно запустили масштабную кампанию по распространению вредоносной программы через электронные письма с PDF-вложениями, нацеленную на Испанию, Португалию и Италию.
HTML-файл содержит скрипт, который проверяет язык, установленный в браузере. Было выявлено два варианта этого файла: первый проверяет, что язык не английский, а второй исключает как английский, так и русский. В обоих случаях, если язык соответствует исключенному, VBS-файл не загружается, а показывается только PDF, используемый в качестве приманки.
VBS-код после обмана представляет серию начальных комментариев, содержащих слова песни Negro Drama, за которыми следует активный код, загружающий PDF-документ с Google Drive по тому же URL, о котором уже сообщалось Fortinet. Во время открытия поддельного PDF-документа, чтобы отвлечь жертву, параллельно происходит загрузка ZIP-архива размером около 90 МБ с сайта ngrok.dev.
В отличие от того, что наблюдал Fortinet, где загружался JAR-файл, который исполнялся только при наличии Java в системе, ZIP-пакет, обнаруженный в этой кампании, содержит как необходимое Java-окружение, так и JAR-файл, замаскированный под PNG-изображение (InvoiceXpress.png), которое исполняется через CMD-скрипт (InvoiceXpress.cmd).
Как уже отмечалось, JAR-файл замаскирован под PNG-изображение. Наличие файла контрольной суммы внутри JAR, который используется для конфигурации, а также структура кода подтверждают его принадлежность к вредоносной программе Adwind.
Конфигурация, зашифрованная с помощью AES в режиме ECB, может быть легко расшифрована с помощью следующего рецепта CyberChef.
Анализ домена, используемого в качестве хоста (порт 4414), еще раз подтверждает, что поддомен принадлежит домену localto.net, который уже был обнаружен в ходе расследований Fortinet и анализов других исследователей на X.
Несмотря на то что Adwind разработан как многоплатформенный продукт, анализируемый вариант, как и те, что были выявлены в предыдущие годы, ориентирован именно на заражение систем Windows.
Индикаторы компрометации
