Kettős hasznos terhelésű kártevő kampány
Egy újonnan leleplezett kártevő kampány jelentős figyelmet vonz a kiberbiztonsági közösségben, mivel képes két különálló fenyegetést egyszerre telepíteni. Egyetlen obfuszkált betöltőt használnak arra, hogy mind a Gh0st RAT-ot, mind a CloverPlus-t ugyanarra a feltört rendszerre juttassák.
Ez a kombináció egyszerre szokatlan és rendkívül stratégiai. A Gh0st RAT teljes körű távoli irányítást biztosít a fertőzött gép felett, míg a CloverPlus a böngészőtevékenység manipulálására, hirdetési komponensek beillesztésére és bevételszerzésre összpontosít tolakodó felugró ablakokon keresztül. A kettős telepítés lehetővé teszi a támadók számára, hogy folyamatos jogosulatlan hozzáférést tartsanak fenn, miközben valós időben pénzzé teszik a fertőzést.
Ez a kampány rávilágít a többszörös hasznos teher kézbesítésének növekvő trendjére, ahol a támadók egyetlen kompromittálással maximalizálják a működési hatékonyságot és a pénzügyi megtérülést.
Tartalomjegyzék
Kötetlenítési taktikák: A hasznos teher elrejtése
A kampány középpontjában álló betöltő lopakodó üzemmódra lett tervezve. Két titkosított adatot ágyaz be az erőforrás-szekciójába, obfuszkációs technikákat alkalmazva a hagyományos észlelési mechanizmusok megkerülésére.
A végrehajtás a CloverPlus reklámprogram-modullal kezdődik, amelyet AdWare.Win32.CloverPlus néven azonosítottak, és egy wiseman.exe nevű futtatható fájlhoz van társítva. Ez a komponens módosítja a böngésző indítási beállításait, és állandó felugró hirdetéseket jelenít meg.
Ezt követően a betöltő kiértékeli a végrehajtási útvonalát. Ha nem a rendszer %temp% könyvtárából működik, akkor a folytatás előtt másolatot hoz létre magáról ott. A következő lépés a Gh0st RAT kliens modul visszafejtése, amely szintén titkosított erőforrásként van elrejtve a rosszindulatú program bináris fájljában.
A visszafejtés után a kártevő egy véletlenszerű fájlnevet rendel a hasznos adathoz, és egy véletlenszerűen elnevezett mappában tárolja azt a C:\ meghajtó gyökerében, ami tovább bonyolítja az észlelést és az elemzést.
A földön kívül élni: Megbízható eszközök, rosszindulatú szándék
A visszafejtett hasznos adat végrehajtásához a kártevő a legitim Windows segédprogramot, a rundll32.exe-t használja. Ez a megközelítés lehetővé teszi a rosszindulatú kódok végrehajtását egy megbízható rendszerfolyamat álcája alatt, jelentősen csökkentve a biztonsági védelem aktiválódásának valószínűségét.
Aktiválását követően a Gh0st RAT megkezdi a feltört rendszer profilalkotását olyan egyedi azonosítók gyűjtésével, mint a MAC-cím és a merevlemez sorozatszáma. Ezeket az adatokat használja az áldozat regisztrálására a támadó parancs- és vezérlő infrastruktúrájában, biztosítva a fertőzött gazdagépek pontos nyomon követését és kezelését.
Perzisztencia mechanizmusok: Hosszú távú hozzáférés biztosítása
A kampány egyik fő célja a hozzáférés fenntartása a rendszer újraindítása után. A Gh0st RAT a rendszerbe mélyen beágyazott számos technikával éri el a hozzáférést:
A Windows Futtatás beállításkulcsának módosítása az automatikus végrehajtás biztosítása érdekében indításkor
Kártékony DLL regisztrálása a távoli hozzáférési szolgáltatás elérési útján a SYSTEM\CurrentControlSet\Services\RemoteAccess\RouterManagers\Ip alatt
Ezek a módszerek RENDSZER szintű jogosultságokat biztosítanak a rosszindulatú programnak a társított szolgáltatás elindításakor, kiküszöbölve a további felhasználói beavatkozás szükségességét és megerősítve a hosszú távú kontrollt.
Észlelés és védekezés: A kompromisszum indikátorai
A kampány hatása jelentős mind az egyének, mind a szervezetek számára. Míg a reklámprogram-összetevő megzavarja a böngésző működését és növeli a rosszindulatú hirdetéseknek való kitettséget, a RAT-összetevő lehetővé teszi az adatlopást, a billentyűleütések naplózását, a biztonsági rés megkerülését és az állandó privilegizált hozzáférést.
A biztonsági csapatoknak továbbra is ébernek kell lenniük, és figyelniük kell a következő kompromittálódási jeleket:
- A rundll32.exe végrehajtása DLL-ek vagy nem szabványos fájlkiterjesztések betöltésével szokatlan vagy gyanús könyvtárakból
- A %temp% mappából származó folyamattevékenység
- A beállításkulcsok vagy a RemoteAccess szolgáltatás konfigurációjának jogosulatlan módosítása
- Ping alapú késleltetések használata a sandbox észlelésének elkerülésére
- Rendellenes DNS-forgalmi minták és váratlan változások a rendszer hosts fájljában
A proaktív monitorozás és a jelekre való gyors reagálás kritikus fontosságú a kifinomult, kettős fenyegetést jelentő kártevő-kampány által jelentett kockázatok mérsékléséhez.
