Новые кампании с PureHVNC RAT: сложные методы заражения и таргетинг на маркетологов в индустрии красоты
Недавние наблюдения лаборатории Netskope Threat Labs выявили активизацию новых кампаний с использованием PureHVNC RAT — трояна удаленного доступа (Remote Access Trojan). В 2024 году злоумышленники использовали сложные цепочки доставки вредоносного ПО и современные техники социальной инженерии, что значительно усложняет борьбу с этим типом угроз.
Особенности методов доставки PureHVNC RAT
Выявленные цепочки заражения характеризуются многоуровневым использованием различных скриптов и технологий. Среди них:
- Цепочка на базе Python;
- Использование PowerShell, JavaScript и AutoIt;
- Обфускация кода с помощью инструментов, таких как CypherIT;
- Внедрение полезной нагрузки в память с использованием .NET framework;
- Использование файлов LNK для первоначального запуска команд;
- Маскировка вредоносных HTA-файлов под MP4 для обхода фильтров;
- Активное использование base64 и GZip для кодирования и сжатия конфигурационных данных.
Эта сложная технология доставки и уклонения затрудняет обнаружение вредоносного ПО и снижает эффективность традиционных средств защиты.
Таргетинг и социальная инженерия
Целевой аудиторией кампаний, в основном, являются специалисты в области маркетинга индустрии красоты. Для привлечения жертв злоумышленники используют поддельные предложения о работе от известных брендов:
- Bershka;
- Fragrance Du Bois;
- John Hardy;
- Dear Klairs.
Подложенные PDF-файлы, оформленные под реальные вакансии, содержат скрытые механизмы запуска вредоносных исполняемых файлов, например, phom.exe, скомпилированных на AutoIt. После открытия файла пользователь непреднамеренно активирует цепочку скриптов, ведущую к загрузке PureHVNC RAT.
Техническая схема заражения
Начальная точка заражения остаётся не до конца ясной, однако крупнейшим фактором считается распространение через рассылки по электронной почте. Алгоритм заражения включает следующие этапы:
- Жертва запускает файл LNK, который инициирует выполнение PowerShell-команды.
- PowerShell декодирует сценарий, закодированный в base64, и использует командлеты Set-Clipboard и IEX для загрузки и исполнения HTA-файла.
- HTA-файл запускает вредоносный JavaScript, замаскированный в «ненужных» байтах, затрудняя анализ.
- Исполняемый файл AutoIt (phom.exe) загружает полезную нагрузку «LekRs» в определённый каталог и создаёт PowerShell-скрипт в общей папке.
- Для сохранения на системе создается ярлык автозагрузки SwiftWrite.url, который инициирует повторное выполнение скриптов и вредоносного JavaScript.
- Используется техника разделения процессов (process hollowing) для инъекции полезной нагрузки в законный процесс, позволяя обходить антивирусы, включая BitDefender.
- В памяти создается буфер с реализацией .NET, который загружает PureHVNC RAT.
Функциональность PureHVNC RAT и ее угрозы
PureHVNC RAT предоставляет злоумышленникам полный контроль над зараженной системой, что позволяет им:
- Загружать и запускать дополнительные вредоносные программы и инструменты;
- Собирать конфиденциальную информацию;
- Выполнять удалённые команды и манипуляции с системой жертвы.
Конфигурационные данные RAT кодируются в base64 и дополнительно сжимаются с помощью GZip, что усложняет анализ трафика и обнаружение вредоносного соединения.
Выводы и рекомендации
Анализ кампаний показывает, что злоумышленники системно развивают тактики, техники и процедуры (TTP), совершенствуя методы доставки, обфускации и таргетинга. Netskope Threat Labs продолжает отслеживать эволюцию PureHVNC RAT и рекомендует организациям обратить внимание на следующие меры защиты:
- Усиление фильтрации электронной почты и обучение сотрудников идентификации фишинговых сообщений;
- Мониторинг PowerShell и других скриптовых движков на подозрительную активность;
- Использование проактивных решений с возможностями детектирования обфусцированного кода и process hollowing;
- Контроль автозагрузок и регулярный аудит системных папок;
- Обеспечение многоуровневой защиты конечных точек и сетевого трафика.
В условиях активного развития таких угроз крайне важна своевременная диагностика и комплексный подход к обеспечению кибербезопасности.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
Оригинал публикации на сайте CISOCLUB: "Многоуровневые атаки PureHVNC RAT: новая угроза 2024 года".
Смотреть публикации по категориям: Новости | Мероприятия | Статьи | Обзоры | Отчеты | Интервью | Видео | Обучение | Вакансии | Утечки | Уязвимости | Сравнения | Дайджесты | Прочее.
Подписывайтесь на нас: VK | Rutube | Telegram | Дзен | YouTube.