Современные методы атак с применением легитимных инструментов установки программного обеспечения становятся все более изощренными. В недавнем отчёте исследовательская группа Splunk Threat раскрыла новую схему распространения вредоносного ПО через законные установщики Inno Setup, широко используемые в системах Windows.
Вредоносные установки на базе Inno Setup: суть угрозы
Киберпреступники незаконно присваивают официальный установщик Inno Setup, внедряя внутрь казалось бы безопасных установочных пакетов вредоносный код. Такой подход позволяет эффективно обходить как скептицизм пользователей, так и многие антивирусные решения.
- Вредоносные пакеты распространяются через фишинговые рассылки и скомпрометированные обновления программного обеспечения.
- Используются возможности встроенного в Inno Setup языка сценариев Pascal для загрузки и выполнения дополнительных зловредных компонентов.
- Основная конечная цель — внедрить шеллкод и активировать HijackLoader, загрузчик вредоносных программ с высоким уровнем скрытности.
Технологии уклонения и обфускации вредоносного установщика
Для сокрытия своей вредоносной активности злоумышленники применяют сразу несколько методов:
- Шифрование XOR для обфускации встроенных сценариев Pascal.
- Использование Windows Management Instrumentation (WMI) для проверки наличия средств безопасности на системе.
- Прекращение работы вредоносного сценария при обнаружении антивирусных инструментов или механизмов анализа.
- Защита от автоматизации, активируемая лишь при определённых условиях, что затрудняет динамический анализ.
После запуска вредоносный загрузчик выполняет контекстную проверку собственного имени файла, а затем устанавливает связь с сервером управления (C2) для загрузки дополнительных полезных нагрузок. Доступ к этим файлам защищён с помощью специальных заголовков аутентификации, что гарантирует только загрузчику получение нужного контента.
Распространение и механизм сохранения вредоносного ПО
Загруженные компоненты часто содержат скрипты, которые создают механизмы сохранения в системе — например, запланированные задачи, позволяющие запускать вредоносное ПО автоматически при каждой перезагрузке компьютера.
RedLine Stealer: финальный этап атаки
Центральным элементом данной кампании является RedLine Stealer — вредоносная программа, ориентированная на кражу конфиденциальных данных пользователя. Она собирает:
- учётные данные из браузера;
- файлы cookie;
- историю посещённых страниц;
- данные расширений криптовалютных кошельков.
RedLine Stealer использует сложные тактики уклонения, среди которых — «постоянное разворачивание» для сокрытия своей функциональности и манипуляция законными процессами операционной системы для повышения скрытности и эффективности.
Рекомендации для организаций
Учитывая сложность и многоуровневость данной угрозы, организациям рекомендуется внедрять надёжные механизмы обнаружения и мониторинга подозрительной активности. Особенно важно обращать внимание на следующие признаки возможной вредоносной активности:
- запуск браузеров с параметром --no-sandbox;
- работа браузеров без расширений;
- незаметное подключение к подозрительным C2-серверам;
- необычное поведение установочных пакетов Inno Setup.
Своевременное выявление этих индикаторов позволит значительно снизить риски компрометации и сократить ущерб от атак.
Безопасность в современном киберпространстве требует не только технических средств, но и глубокого понимания тактик и инструментов злоумышленников, поэтому подобные исследования играют ключевую роль в построении эффективной защиты.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
Оригинал публикации на сайте CISOCLUB: "Inno Setup: новый вектор для незаметного распространения вредоносного ПО".
Смотреть публикации по категориям: Новости | Мероприятия | Статьи | Обзоры | Отчеты | Интервью | Видео | Обучение | Вакансии | Утечки | Уязвимости | Сравнения | Дайджесты | Прочее.
Подписывайтесь на нас: VK | Rutube | Telegram | Дзен | YouTube.