Malware distribuido como updates falsas de software usando NetSupport RAT
Los investigadores de FireEye han descubierto una campaña de piratería aprovechando los sitios web comprometidos para difundir actualizaciones falsas para software popular que también se utilizaron para distribuir NetSupport Manager RAT.
NetSupport es una RAT comercial que podría ser utilizada por los administradores del sistema para la administración remota de computadoras. En el pasado, los ladrones abusan de esta aplicación legítima para implementar malware en las máquinas de las víctimas.
Los investigadores de FireEye han descubierto una campaña de piratería que ha estado activa durante los últimos meses y que ha estado aprovechando sitios web comprometidos para difundir actualizaciones falsas para software popular (es decir, Adobe Flash, Chrome y FireFox) que también se utilizaron para entregar NetSupport Manager herramienta de acceso remoto (RAT).
Una vez que las víctimas han ejecutado las actualizaciones, se descarga un archivo JavaScript malicioso, en la mayoría de los casos desde un enlace de Dropbox.
"En los últimos meses, FireEye ha rastreado una campaña en marcha que aprovecha los sitios comprometidos para difundir actualizaciones falsas. En algunos casos, la carga útil era la herramienta de acceso remoto (RAT) de NetSupport Manager ", dice el análisis publicado por FireEye.
"El operador detrás de estas campañas utiliza sitios comprometidos para difundir actualizaciones falsas que se hacen pasar por actualizaciones de Adobe Flash, Chrome y Firefox".
El archivo JavaScript recopila información en la máquina de destino y la envía al servidor que, a su vez, envía comandos adicionales, luego ejecuta un JavaScript para entregar la carga final. El JavaScript que entrega la carga útil final se denomina Update.js, se ejecuta desde% AppData% con la ayuda de wscript.exe.
"Dado que el malware usa la persona que llama y el código de la función llamada para derivar la clave, si el analista agrega o elimina algo del primer o segundo script de capa, el script no podrá recuperar la clave y terminará con una excepción". el analisis.
Una vez ejecutado, el JavaScript contacta al servidor de comando y control (C & C) y envía un valor llamado 'tid' y la fecha actual del sistema en un formato codificado, el servidor, a su vez, proporciona una respuesta que el script luego decodifica y ejecuta como una función llamada step2.
La función step2 recopila y codifica la información del sistema y luego la envía al servidor: arquitectura, nombre de la computadora, nombre de usuario, procesadores, sistema operativo, dominio, fabricante, modelo, versión del BIOS, producto antispyware, producto antivirus, dirección MAC , teclado, dispositivo señalador, configuración del controlador de pantalla y lista de procesos.
El servidor responde con una función llamada step3 y Update.js, que la secuencia de comandos descarga y ejecuta la carga final.
El Javascript usa comandos de PowerShell para descargar múltiples archivos desde el servidor, incluyendo:
- 7za.exe: ejecutable independiente 7zip
- LogList.rtf: archivo de almacenamiento protegido con contraseña
- Upd.cmd: secuencia de comandos por lotes para instalar el cliente de NetSupport
- Downloads.txt: Lista de direcciones IP (posiblemente los sistemas infectados)
- Get.php: Descargas LogList.rtf
El script realiza las siguientes tareas:
- Extrae el archivo utilizando el ejecutable 7zip con la contraseña mencionada en el script.
- Después de la extracción, elimine el archivo de archivo descargado (loglist.rtf).
- Deshabilite Informes de errores de Windows y compatibilidad de aplicaciones.
- Agrega el ejecutable del cliente de control remoto a la lista de programas permitidos del firewall.
- Ejecute la herramienta de control remoto (client32.exe).
- Agrega la entrada de registro Run con el nombre "ManifestStore" o descargue el archivo de acceso directo a la carpeta de Inicio.
- Oculta los archivos usando atributos.
- Elimina todos los artefactos (ejecutable 7zip, script, archivo de almacenamiento).
Los atacantes usan NetSupport Manager para obtener acceso remoto a los sistemas comprometidos y controlarlo.
El JavaScript final también descargó una lista de direcciones IP que podrían ser sistemas comprometidos, la mayoría de ellos en los EE.UU., Alemania y los Países Bajos.