Новая вредоносная программа LabubaRAT выдаёт себя за служебный компонент NVIDIA. Авторы собрали её на языке программирования Rust и не подписали цифровым сертификатом. Работает она только на 64-разрядных системах Windows. После запуска злоумышленник получает полный контроль над заражённым компьютером: выполняет команды, читает и удаляет файлы, делает снимки экрана, пропускает чужой сетевой трафик через машину жертвы. Целевая аудитория - корпоративные сети, а не рядовые пользователи. Программа подолгу остаётся незамеченной, поскольку её имя совпадает с названием системного компонента производителя видеокарт.
Описание
Маскировка охватывает несколько уровней. Имя исполняемого файла имитирует служебную утилиту NVIDIA. Внутренние объекты программы тоже носят название бренда. Один из них не даёт запустить второй экземпляр на той же машине. Следы сборки ведут к типичному каталогу разработчика. Администратор видит знакомое имя и редко проверяет его происхождение, чем и пользуются атакующие.
По данным Blackpoint Adversary Pursuit Group, LabubaRAT построена на многоразовом каркасе, а не под конкретную жертву. При сборке в программу закладывают четыре настраиваемых поля: название организации, метку группы, адрес сервера управления и ключ доступа. Внутреннее пространство имён настроек подчиняется единому шаблону. Такой подход характерен для модели "вредоносное ПО как услуга" (MaaS). Один разработчик продаёт или сдаёт в аренду готовый инструмент сразу нескольким клиентам.
Управление идёт через отдельную панель, которую авторы назвали LabubaPanel. Серверы панели расположены у немецких провайдеров и распределены по нескольким сетевым адресам. Одна панель обслуживает много заражённых машин, поэтому оператору не нужно выстраивать отдельную инфраструктуру под каждую жертву. Это снижает требования к подготовке менее опытных группировок.
Распространение опиралось на две нестандартные детали. Первая - программа умеет исполнять код на языке JavaScript, и эту же возможность злоумышленники использовали для доставки. Вторая - переименованная служебная утилита сборки от Microsoft, известная как MSBuild. Её файл получил имя, похожее на безобидный координатор сборки, после чего запускал проект, подгружавший дополнительную библиотеку. Заодно программа закреплялась в системе: добавляла себя в раздел автозапуска пользователя, чтобы возвращаться после перезагрузки.
Разведка начинается сразу после запуска. Программа собирает сведения о версии системы, установленных исправлениях, архитектуре и сетевых настройках. Отдельно она проверяет, какие средства защиты стоят на машине, чтобы выбрать безопасный способ действий. Собранные файлы она упаковывает в архив и отправляет на командно-контрольный сервер (C2-сервер). Связь идёт двумя путями: по обычным веб-протоколам и через систему доменных имён (DNS). Второй канал напоминает туннель - запросы уходят частыми мелкими порциями, и внешне трафик почти неотличим от обычного просмотра веб-страниц.
Ущерб от таких программ редко ограничивается одним компьютером. Через прокси-режим заражённая машина превращается в точку входа во внутреннюю сеть компании. Злоумышленник скачивает документы, бухгалтерию, переписку и клиентские базы. Для производства это оборачивается простоем, для сервисной компании - утечкой данных и последующими претензиями регуляторов. Пока панель активна, доступ сохраняется даже после перезагрузки.
Риск снижают несколько простых мер. Насторожиться стоит, если процесс с именем компонента NVIDIA запускается не из стандартной папки установки и не имеет действительной подписи разработчика. Утилита сборки Microsoft, переименованная или лежащая в необычном месте, тоже повод для проверки. Отслеживать имеет смысл всплески однотипных DNS-запросов к одному домену. Полезно контролировать появление новых записей автозапуска в реестре пользователя. Наконец, обращения к известной инфраструктуре панели блокируются на периметре сети.
Готовый каркас и арендная модель меняют расстановку сил. Раньше подобный инструмент требовал от группировки собственной разработки и постоянной поддержки. Теперь достаточно оплатить доступ и заполнить четыре поля. Стоимость атаки падает, а число кампаний растёт. Организациям разумно исходить из того, что похожие программы будут появляться чаще, и заранее выстроить контроль за подписью исполняемых файлов и за исходящими DNS-запросами.
Индикаторы компрометации
