XWorm, Remcos RAT หลบเลี่ยง EDR เพื่อทำให้โครงสร้างพื้นฐานที่สำคัญติดไวรัส

XWorm, Remcos RAT หลบเลี่ยง EDR เพื่อทำให้โครงสร้างพื้นฐานที่สำคัญติดไวรัส

ประทับเวลา: 11 สิงหาคม 2023 1:19 น.
XWorm และ Remcos RAT หลบเลี่ยง EDR เพื่อแพร่เชื้อ PlatoBlockchain Data Intelligence โครงสร้างพื้นฐานที่สำคัญ ค้นหาแนวตั้ง AI.

Injector ที่ใช้สนิม Freeze[.]rs ได้รับการติดอาวุธเพื่อแนะนำแพลแวร์ของมัลแวร์ให้กับเป้าหมาย ในแคมเปญฟิชชิ่งที่มีความซับซ้อนซึ่งมีไฟล์ PDF ที่เป็นอันตรายซึ่งหลบเลี่ยงการตรวจจับและตอบสนองปลายทาง (EDR)

ค้นพบครั้งแรกโดย FortiGuard Labs ของ Fortinet ในเดือนกรกฎาคม แคมเปญนี้มีเป้าหมายที่เหยื่อทั่วยุโรปและอเมริกาเหนือ รวมถึงซัพพลายเออร์สารเคมีพิเศษหรือผลิตภัณฑ์อุตสาหกรรม

ในที่สุด เครือข่ายนี้ถึงจุดสุดยอดในการโหลดมัลแวร์ XWorm ซึ่งสร้างการสื่อสารกับเซิร์ฟเวอร์ command-and-control (C2) ซึ่งเป็นการวิเคราะห์โดยบริษัทที่เปิดเผย XWorm สามารถทำหน้าที่ได้หลากหลายตั้งแต่การโหลดแรนซัมแวร์ไปจนถึงการทำหน้าที่เป็นประตูหลังถาวร

การเปิดเผยเพิ่มเติมยังเปิดเผยถึงการมีส่วนร่วมของ SYK Crypter ซึ่งเป็นเครื่องมือที่ใช้บ่อยในการเผยแพร่ตระกูลมัลแวร์ผ่านแพลตฟอร์มแชทชุมชน Discord crypter นี้มีบทบาทในการโหลด Remcos โทรจันเข้าถึงระยะไกลที่ซับซ้อน (RAT) เชี่ยวชาญในการควบคุมและตรวจสอบอุปกรณ์ Windows

วาง EDR บนน้ำแข็ง: ภายใต้ประทุนของห่วงโซ่การโจมตีของ Freeze[.]rs

ในการตรวจสอบของพวกเขา การวิเคราะห์ของทีมเกี่ยวกับอัลกอริทึมที่เข้ารหัสและชื่อ API ได้ตรวจสอบที่มาของหัวฉีดใหม่นี้ย้อนกลับไปยังเครื่องมือ Red Team “Freeze.rs” ซึ่งได้รับการออกแบบมาโดยเฉพาะสำหรับการสร้างเพย์โหลดที่สามารถข้ามมาตรการรักษาความปลอดภัย EDR ได้

“ไฟล์นี้เปลี่ยนเส้นทางไปยังไฟล์ HTML และใช้โปรโตคอล 'search-ms' เพื่อเข้าถึงไฟล์ LNK บนเซิร์ฟเวอร์ระยะไกล” บล็อกโพสต์ของบริษัท อธิบาย. “เมื่อคลิกไฟล์ LNK สคริปต์ PowerShell จะดำเนินการ Freeze[.]rs และ SYK Crypter สำหรับการกระทำที่ไม่เหมาะสมเพิ่มเติม”

Cara Lin นักวิจัยของ FortiGuard Labs อธิบายว่า Freeze[.]rs injector เรียก NT syscalls เพื่อฉีด shellcode โดยข้ามการเรียกมาตรฐานที่อยู่ใน Kernel base dll ซึ่งอาจติดได้

“พวกเขาใช้ความล่าช้าเล็กน้อยที่เกิดขึ้นก่อนที่ EDR จะเริ่มเชื่อมต่อและเปลี่ยนแปลงการประกอบ DLL ของระบบภายในกระบวนการ” เธอกล่าว “หากกระบวนการถูกสร้างขึ้นในสถานะระงับ มีการโหลด DLL น้อยที่สุด และไม่มี DLL เฉพาะ EDR ถูกโหลด ซึ่งบ่งชี้ว่า syscalls ภายใน Ntdll.dll ยังคงไม่เปลี่ยนแปลง”

Lin อธิบายว่าห่วงโซ่การโจมตีเริ่มต้นผ่านไฟล์ PDF ที่ติดกับดัก ซึ่งทำงานร่วมกับโปรโตคอล "search-ms" เพื่อส่ง payload

รหัส JavaScript นี้ใช้ฟังก์ชัน "ค้นหา-ms" เพื่อเปิดเผยไฟล์ LNK ที่อยู่บนเซิร์ฟเวอร์ระยะไกล

โปรโตคอล “search-ms” สามารถเปลี่ยนเส้นทางผู้ใช้ไปยังเซิร์ฟเวอร์ระยะไกลผ่านหน้าต่าง Windows Explorer

“ด้วยการใช้ไฟล์ LNK หลอกลวงปลอมแปลงเป็นไอคอน PDF มันสามารถหลอกเหยื่อให้เชื่อว่าไฟล์นั้นมาจากระบบของพวกเขาเองและถูกต้องตามกฎหมาย” เธอกล่าว

ในขณะเดียวกัน “SYK Crypter คัดลอกตัวเองไปยังโฟลเดอร์ Startup เพื่อคงอยู่ เข้ารหัสการกำหนดค่าระหว่างการเข้ารหัสและถอดรหัสเมื่อดำเนินการ และยังเข้ารหัสเพย์โหลดที่ถูกบีบอัดในทรัพยากรเพื่อทำให้งงงวย” เธอกล่าวเสริม

ตัวดาวน์โหลดถูกใช้ควบคู่ไปกับการเข้ารหัสในเลเยอร์แรก และเลเยอร์ที่สองเกี่ยวข้องกับการเข้ารหัสสตริงและเพย์โหลด

“กลยุทธ์หลายชั้นนี้ออกแบบมาเพื่อเพิ่มความซับซ้อนและความท้าทายสำหรับการวิเคราะห์แบบคงที่” เธอกล่าว “ในที่สุด มันสามารถยุติตัวเองได้เมื่อรู้จักผู้ให้บริการความปลอดภัยรายใดรายหนึ่ง”

วิธีป้องกันความเสี่ยงจากฟิชชิ่ง

ฟิชชิงและการโจมตีตามข้อความอื่นๆ ยังคงเป็นภัยคุกคามที่แพร่หลายโดย 97% ของบริษัทเห็นการโจมตีทางอีเมลฟิชชิงอย่างน้อยหนึ่งครั้งในช่วง 12 เดือนที่ผ่านมา และสามในสี่ของบริษัทคาดว่าจะมีค่าใช้จ่ายจำนวนมากจากการโจมตีทางอีเมล

การโจมตีแบบฟิชชิ่ง ฉลาดขึ้นและตรงเป้าหมายมากขึ้น ปรับตัวเข้ากับเทคโนโลยีใหม่และพฤติกรรมของผู้ใช้ พัฒนาไปสู่การแสวงหาประโยชน์จากมือถือ การแอบอ้างแบรนด์ และเนื้อหาที่สร้างโดย AI

การวิจัยระบุว่าสิ่งสำคัญคือการบำรุงรักษาซอฟต์แวร์ให้ทันสมัยเพื่อลดความเสี่ยง จัดให้มีการฝึกอบรมอย่างสม่ำเสมอ และใช้เครื่องมือรักษาความปลอดภัยขั้นสูงเพื่อป้องกันเพื่อต่อต้านภัยคุกคามที่พัฒนาขึ้นเรื่อยๆ ของการโจมตีแบบฟิชชิ่ง

การฝึกอบรมการจำลองฟิชชิ่งสำหรับพนักงาน ดูเหมือนจะทำงานได้ดีขึ้นในองค์กรโครงสร้างพื้นฐานที่สำคัญ มากกว่าในภาคส่วนอื่นๆ โดย 66% ของพนักงานเหล่านั้นรายงานการโจมตีทางอีเมลที่เป็นอันตรายจริงอย่างน้อยหนึ่งครั้งอย่างถูกต้องภายในหนึ่งปีของการฝึกอบรม การวิจัยใหม่พบ

ประทับเวลา:

เพิ่มเติมจาก การอ่านที่มืด