DTPacker Malware

DTPacker är en ganska märklig skadlig programvara, eftersom den innehåller både packarfunktionalitet och fungerar som en nedladdning. En sådan kombination av använda metoder för att leverera hotfulla nyttolaster i nästa steg är minst sagt ganska ovanlig. När allt kommer omkring har packare nyttolastdata inbäddad i sig från början, medan nedladdare hämtar nyttolasten från en onlineresurs där den finns.

Detaljer om skadlig programvara släpptes till allmänheten i en rapport från forskarna som har följt hotet sedan 2020. Under tiden sedan dess har DTPacker observerats som en del av många attackoperationer för att leverera ett brett utbud av hot i nästa steg , såsom infostealers ( Agent Tesla och FormBook ) och fjärråtkomsttrojaner eller RAT:er ( Ave Maria och AsyncRAT ). DTPacker har också distribuerats av flera olika hotaktörer, inklusive TA2536 och TA2715 och till och med APT-grupper (Advanced Persistent Threat).

DTPackers detaljer

DTPackers attackkedja börjar vanligtvis med distribution av betesmail som har en vapenad bilaga. Den bifogade filen kan vara ett skadat dokument eller en komprimerad körbar fil. När offren försöker interagera med filen, levereras packarens körbara filer till deras datorer. DTPacker körs i två steg och är utrustad med olika obfuskeringstekniker för att undvika analys, sandlådemiljöer och säkerhetsprodukter mot skadlig programvara.

Det första steget av skadlig programvara inkluderar avkodning av en inbäddad eller nedladdad resurs till en DLL. Det andra steget extraherar sedan nyttolasten från DLL:n och fortsätter att exekvera den. Det andra steget använder en fast nyckel som från början var 'trump2020' men senare versioner bytte den till en fast ASCII-nyckel 'Trump2026'. Namnet på skadlig programvara är baserat på dessa fasta nycklar.

Det bör också noteras att lockbetswebbplatserna designades för att framstå som legitima Liverpool FC och fanbaserade sidor. DTPacker använde dessa webbplatser som nedladdningsplatser där de slutliga nyttolasterna hämtades.