Kampaň s dvojitým zaťažením škodlivým softvérom

Novo odhalená kampaň škodlivého softvéru priťahuje značnú pozornosť v komunite kybernetickej bezpečnosti kvôli svojej schopnosti súčasne nasadiť dve odlišné hrozby. Na doručenie Gh0st RAT aj CloverPlus do toho istého napadnutého systému sa používa jeden obfuskovaný zavádzač.

Táto kombinácia je nezvyčajná a zároveň vysoko strategická. Gh0st RAT umožňuje plnú diaľkovú kontrolu nad infikovaným počítačom, zatiaľ čo CloverPlus sa zameriava na manipuláciu s aktivitou prehliadača, vkladanie reklamných komponentov a generovanie príjmov prostredníctvom rušivých vyskakovacích okien. Duálne nasadenie umožňuje aktérom hrozby udržiavať trvalý neoprávnený prístup a zároveň speňažovať infekciu v reálnom čase.

Táto kampaň zdôrazňuje rastúci trend smerom k doručovaniu viacerých dátových úložiská, kde útočníci maximalizujú prevádzkovú efektivitu a finančnú návratnosť z jediného útoku.

Taktiky zahmlievania: Skrytie užitočného zaťaženia

Zavádzací program, ktorý je jadrom tejto kampane, je navrhnutý pre nenápadnosť. Do svojej sekcie zdrojov vkladá dva šifrované užitočné dáta a pomocou techník zahmlievania sa vyhýba tradičným detekčným mechanizmom.

Spustenie sa začína modulom adwaru CloverPlus, identifikovaným ako AdWare.Win32.CloverPlus a priradeným k spustiteľnému súboru s názvom wiseman.exe. Tento komponent upravuje nastavenia spúšťania prehliadača a vkladá trvalé vyskakovacie reklamy.

Následne zavádzací program vyhodnotí svoju cestu vykonávania. Ak nefunguje z adresára %temp% systému, pred pokračovaním si tam vytvorí svoju kópiu. Ďalšia fáza zahŕňa dešifrovanie klientskeho modulu Gh0st RAT, ktorý je tiež skrytý ako šifrovaný zdroj v binárnom súbore malvéru.

Po dešifrovaní malvér priradí užitočnému zaťaženiu náhodný názov súboru a uloží ho do náhodne pomenovaného priečinka umiestneného v koreňovom adresári disku C:\, čo ďalej komplikuje detekciu a analýzu.

Život z pôdy: Dôveryhodné nástroje, zlomyseľný úmysel

Na spustenie dešifrovaného obsahu využíva malvér legitímny nástroj systému Windows rundll32.exe. Tento prístup umožňuje spustenie škodlivého kódu pod rúškom dôveryhodného systémového procesu, čím sa výrazne znižuje pravdepodobnosť spustenia bezpečnostných obranných mechanizmov.

Po aktivácii začne Gh0st RAT profilovať napadnutý systém zhromažďovaním jedinečných identifikátorov, ako je MAC adresa a sériové číslo pevného disku. Tieto údaje sa používajú na registráciu obete v rámci útočníkovej infraštruktúry velenia a riadenia, čím sa zabezpečí presné sledovanie a správa infikovaných hostiteľov.

Mechanizmy perzistencie: Zabezpečenie dlhodobého prístupu

Udržiavanie prístupu po reštarte systému je kľúčovým cieľom tejto kampane. Gh0st RAT dosahuje perzistenciu prostredníctvom viacerých techník hlboko zabudovaných v operačnom systéme:

Úprava kľúča registra Spustiť systému Windows na zabezpečenie automatického spustenia pri štarte
Registrácia škodlivej knižnice DLL v ceste služby vzdialeného prístupu v priečinku SYSTEM\CurrentControlSet\Services\RemoteAccess\RouterManagers\Ip

Tieto metódy udeľujú malvéru privilégiá na úrovni SYSTÉMU vždy, keď sa spustí priradená služba, čím sa eliminuje potreba ďalšej interakcie s používateľom a posilňuje sa dlhodobá kontrola.

Detekcia a obrana: Indikátory kompromitácie

Dopad tejto kampane je značný pre jednotlivcov aj organizácie. Zatiaľ čo adware komponent narúša funkčnosť prehliadača a zvyšuje vystavenie škodlivej reklame, RAT komponent umožňuje krádež údajov, zaznamenávanie stlačení klávesov, obchádzanie zabezpečenia a trvalý privilegovaný prístup.

Bezpečnostné tímy by mali zostať ostražití a sledovať nasledujúce indikátory ohrozenia:

• Spustenie súboru rundll32.exe, ktorý načítava súbory DLL alebo neštandardné prípony súborov z nezvyčajných alebo podozrivých adresárov
• Aktivita procesu pochádzajúca z priečinka %temp%
• Neoprávnené úpravy kľúčov Spustenia databázy Registry alebo konfigurácií služby RemoteAccess
• Použitie oneskorení založených na pingu na obchádzanie detekcie v sandboxe
• Abnormálne vzorce prenosu DNS a neočakávané zmeny v súbore hosts systému

Proaktívne monitorovanie a rýchla reakcia na tieto signály sú kľúčové pre zmiernenie rizík, ktoré predstavuje táto sofistikovaná kampaň malvéru s dvojitou hrozbou.