Нова многостепенна зловредна кампания за Windows деактивира Microsoft Defender преди внедряване на полезен товар

Изследователи по сигурността идентифицираха сложна многостепенна кампания със зловреден софтуер, насочена към системи под Windows. Атаката се осъществява чрез методи на социално инженерство и злоупотреба с облачни услуги.

Атаката използва документи на бизнес тематика като подвеждащи входни точки, подтиквайки потребителите да разархивират компресирани архиви. Те съдържат компрометирани преки пътища, които изпълняват PowerShell команди във фонов режим.

След активиране, веригата на заразяване систематично неутрализира Microsoft Defender, преди да достави разрушителни полезни товари, включително ransomware, инструменти за наблюдение и банкови троянски коне.

Кампанията представлява обезпокоителна еволюция в сложността на атаките, тъй като участниците в заплахата напълно избягват експлоатирането на софтуерни уязвимости. 

Вместо това, атаката разчита на злоупотреба с легитимни функции на операционната система, вградени административни инструменти и публични облачни платформи като GitHub и Dropbox. По този начин зловредният трафик остава скрит в рамките на обичайните потоци от данни в корпоративната мрежа. 

Този подход драстично намалява вероятността за засичане чрез анализ, като същевременно увеличава щетите чрез продължителен, многослоен компромат на системата.

Технически детайли на атаката

Заразата започва с подвеждащ LNK файл, маскиран като стандартен счетоводен документ. При изпълнение този файл стартира Power Shell, използвайки механизъм за заобикаляне на политиката за изпълнение и изтегля замъглен скрипт за зареждане от първо ниво (first-stage loader) директно от GitHub.

Зареждащият скрипт установява персистентност в системата, генерира документи-примамки, за да отвлече вниманието на потребителя, и инициира комуникация с атакуващия чрез Telegram Bot API, за да потвърди успешното компрометиране. Анализаторите от Fortinet идентифицираха зловредния софтуер, след като откриха сложните механизми за заобикаляне на защитата, вградени в цялата верига на атаката.

Критичен компонент на тази кампания е оперативната злоупотреба с Defendnot – инструмент за изследвания, първоначално създаден да демонстрира уязвимости в Windows Security Center.

Вектор на заразяване 

Извършителите на заплахата са пренастроили този инструмент, за да деактивират системно Microsoft Defender чрез регистриране на фалшив антивирусен продукт. По този начин те експлоатират механизмите за доверие в Windows, за да форсират автоматичното изключване на Defender.

Атаката преминава през четири отделни оперативни фази. След неутрализирането на защитите, кампанията преминава към разузнаване на средата и активно наблюдение, внедрявайки модули за заснемане на екрана, които извличат визуални доказателства за активността на потребителя.

Накрая атакуващият налага пълно блокиране на системата, като деактивира административните инструменти, унищожава механизмите за възстановяване и превзема файловите асоциации. Това не позволява на жертвите да изпълняват легитимни приложения или да получат достъп до собствените си файлове.

В последната фаза на кампанията се внедрява Amnesia RAT за постоянен отдалечен достъп и кражба на данни. Този софтуер е насочен към извличане на идентификационни данни от браузъри, криптовалутни портфейли и чувствителна финансова информация.

Паралелното разгръщане на Hakuna Matata ransomware криптира потребителските файлове с разширението NeverMind12F, докато компонентите на WinLocker налагат пълно блокиране на системата. Те показват таймери с обратно броене, които притискат жертвите да се свържат с атакуващия за договаряне на откуп.
Източник: https://cybersecuritynews.com/