В полку “ратников” прибыло

В конце 2023 года специалисты F.A.C.C.T. Threat Intelligence зафиксировали несколько фишинговых рассылок от преступной группы, которая использует троян удаленного доступа DarkCrystal RAT для атак на российские компании. Среди их целей были  маркетплейсы, торговые сети, банки, IT-компании, телекоммуникационная и строительная компании.

В случае успеха злоумышленники могли бы получить доступ к внутренним финансовым и юридическим документам компаний, клиентским базам данных, учетным записям от почтовых сервисов и мессенджеров. Однако система защиты от сложных и неизвестных киберугроз F.A.С.С.T. Managed XDR перехватила и заблокировала все фишинговые письма, отправленные на электронные адреса наших клиентов. Эксперты проанализировали содержимое рассылок и обнаружили новый троян удаленного доступа  —  RADX. Подробнее о нем — в этом блоге.

Оплата прошла: ноябрьские и декабрьские атаки

Рис. 1. Скриншот вредоносного письма из ноябрьской рассылки с просьбой оплатить счет

В ноябре 2023 года злоумышленники рассылали с почты sergkovalev@b7s[.]ru фишинговые письма с темой “Оплата сервера”. В них содержалось два вида вложения: “скрин оплаты за сервер.zip” или  “скрин оплаты за сервер.pdf.zip”. В первом архиве содержался файл “скрин оплаты за сервер.scr”, который установит на компьютер жертвы троян удаленного доступа DarkCrystal RAT. В данном случае командным центром (C2) DarkCrystal RAT является IP-адрес 195.20.16[.]116.

Во втором архиве содержался лоадер “скрин оплаты за сервер.pdf.exe”, который установил ранее неизвестное нам ВПО. В ходе анализа, мы дали ему название RADX RAT.

В декабре 2023 эксперты зафиксировали уже новые фишинговые рассылки, доставляющие сэмплы DarkCrystal RAT с тем же C2. Темой писем были “Подтверждение оплаты”, “Не прошла оплата” и “ООО “Агрокомбинат ГК””.

Рис.2 Скриншот письма из декабрьской рассылки с просьбой проверить оплату

Мы обнаружили, что злоумышленники рассылали два разных архива с одинаковым названием “Платежное поручение №24754 от 4 декабря 2023 г..jpg.zip”. В первом был .SCR файл, во втором был исполняемый EXE, который также установит DarkCrystal RAT.

Рис.3 Скриншот письма из декабрьской рассылки с темой “Не прошла оплата”

В случае писем с темой “Агрокомбинат ГК” злоумышленники доставляли ссылку на запароленный архив “TZ_Maket_DopInfo.zip”:

Рис.4 Скриншот письма из декабрьской рассылки с темой “Агрокомбинат ГК”

Во втором архиве содержался “скрин оплаты за сервер.pdf.exe”, который должен установить другую вредоносную программу, отличную от DarkCrystal RAT, под видом исполняемого файла AppLaunch.exe на компьютер жертвы.

Дерево процессов после запуска файла “скрин оплаты за сервер.pdf.exe”:

Рис.5 Скриншот дерева процессов в интерфейсе решения F.A.C.C.T. Managed XDR

Данный сэмпл закрепляется в системе с помощью создания задачи MicrosoftWindowsControlRCP в планировщике заданий, которая запускает файл “%USERPROFILE%\AppData\Local\Packages\Microsoft.Windows.Accounts.ControlRCP_ruzxpnew4af\AppLaunch.exe” каждый раз при входе пользователя в систему.

Анализируя обнаруженные на VirusTotal схожие образцы, принадлежащие данному семейству, удалось обнаружить в одном из них ASCII-арт “RAD-X”:

Рис.6 Скриншот кода сэмпла с ASCII-артом “RAD-X”

Также была обнаружена форма авторизации RADX:

Рис.7 Скриншот формы авторизации RADX

Таким образом, данное семейство ВПО было классифицировано нами как RADX RAT. Семейство ВПО, получившее название RADX RAT, специалисты Threat Intelligence нашли в продаже на андеграундном форуме. Данный “ратник” находится в продаже с октября 2023 года и его рекламируют следующим образом: “самый лучший СОФТ для работы с удаленным доступом и сбором секретной информации”.

Кстати, злоумышленники позиционируют RADX еще и как “самый дешевый RAT” и предлагали его по новогодним скидкам с программой-стилером в придачу. Так, недельная аренда RADX со скидками обходится всего 175 рублей рублей в месяц, а трехмесячная — 475 рублей.

Рис.8 Скриншот объявления на форуме

Технические детали

Специалисты Threat Intelligence проанализировали образцы семейства данного ВПО. RADX RAT обладает следующими функциональными возможностями:

• Сбор информации о видеокарте и процессоре (команда user_not_found).
• Сбор информации о скомпрометированном хосте, обращаясь к ресурсу http://ipinfo[.]io/json (команда user_not_found).
• Сбор информации из веб-браузеров: «Microsoft Edge», «Chrome», «Yandex Browser», «Opera GX», «Opera», «Slimjet», «Brave», «Vivaldi» (команда backup_info).
• Сбор информации из расширений веб-браузеров: «Microsoft Edge», «Chrome» (команда backup_info).
• Сбор информации из криптокошельков: «Exodus», «Electrum», «Coinomi» (команда backup_info).
• Сбор токенов мессенджеров Telegram и Discord (команда backup_info).
• Создание снимков экрана рабочего стола (скриншотов) (команды stream_start и stream_stop).
• Открытие ссылок в веб-браузере (команда open_link).
• Выполнение команд в оболочке командной строки cmd.exe (команда cmd).
• Загрузка файлов с C2 на скомпрометированный хост и их последующий запуск (команда upload_file).
• Поддержка VNC (эмуляция мыши и клавиатуры на скомпрометированном хосте) (команды vnc_start и vnc_stop).
• Закрепление в системе через создание задачи в планировщике заданий.
• Добавление исполняемого файла RADX RAT в исключение Windows Defender.
• Сбор файлов с расширениями *.txt, *.doc, *.docx, *.xlsx, *.xls в каталоге %USERPROFILE%\Desktop (команда backup_info).
• Создание конфигурационного файла, содержащего информацию о скомпрометированном хосте: %USERPROFILE%\AppData\Local\Packages\Microsoft.Windows.Accounts.ControlRCP_ruzxpnew4af\config.json (команда user_not_found).
• Создание задачи MicrosoftWindowsControlRCP в планировщике заданий, которая запускает файл %USERPROFILE%\AppData\Local\Packages\Microsoft.Windows.Accounts.ControlRCP_ruzxpnew4af\<название файла>.exe (например: AppLaunch.exe) каждый раз при входе пользователя в систему.

Кроме того, в RADX RAT используется Fody.Costura версии 5.7.0 (плагин под фреймворк Fody версии 6.5.5.0 или 6.8.0.0) для сжатия и встраивания зависимостей как ресурсы в единую сборку, тем самым упрощая развертывание вредоносной программы и уменьшая размер ее исполняемого файла.

RADX RAT использует следующие ссылки при взаимодействии с C2:

uuid генерируется на стороне сервера и приходит в ответе на запрос добавления пользователя (add_user) на сервере злоумышленников. Пример отправки информации о зараженной системе на C2 и получения uuid:

Рис.9 Скриншот отправленного пакета на С2 с информацией о зараженной системе

Строки в RADX RAT закодированы Base64 и зашифрованы алгоритмом Triple DES ECB. Алгоритм расшифровки:

Рис.10 Скриншот алгоритма расшифровки

Пример зашифрованных строк:

Рис.11 Зашифрованные строки RADX

На скриншоте ниже представлены админ-панель RADX и фрагмент кода, отвечающий за стрим экрана:

Рис.12 Сопоставление кода ВПО с возможностями панели администрирования

На скриншоте ниже представлен фрагмент кода, отвечающий за создание конфигурационного файла config.json на компьютере жертвы и отправку его содержимого на C2:

Рис.13 Фрагмент кода, отвечающий за создание и отправку конфигурационного файла config.json

Пример содержимого конфигурационного файла %USERPROFILE%\AppData\Local\Packages\Microsoft.Windows.Accounts.ControlRCP_ruzxpnew4af\config.json на компьютере жертвы:

Рис.14 Содержимое конфигурационного файла config.json

Ниже представлены веб-браузеры и криптокошельки, используемые в RADX RAT:

Рис.15 Веб-браузеры и криптокошельки, используемые в RADX RAT

На скриншоте ниже представлен фрагмент кода, отвечающий за сбор информации из расширений веб-браузеров:

Рис.16 Фрагмент кода, отвечающий за сбор информации из расширений веб-браузеров

На скриншоте ниже представлен фрагмент кода, отвечающий за сбор информации из криптокошельков:

Рис.17 Фрагмент кода, отвечающий за сбор информации из криптокошельков

На скриншоте ниже представлен фрагмент кода, отвечающий за сбор токенов мессенджера Telegram:

Рис.18 Фрагмент кода, отвечающий за сбор токенов Telegram

На скриншоте ниже представлен фрагмент кода, отвечающий за сбор токенов мессенджера Discord:

Рис.19 Фрагмент кода, отвечающий за сбор токенов Discord

На скриншоте ниже представлен фрагмент кода, отвечающий за создание и отправку на C2 снимков экрана рабочего стола (скриншотов):

Рис.20 Фрагмент кода, отвечающий за создание и отправку скриншотов

На скриншоте ниже представлен фрагмент кода, отвечающий за открытие ссылки в веб-браузере и выполнение команд в cmd.exe (выполнение команд “open_link” и “cmd”):

Рис.21 Фрагмент кода, отвечающий за выполнение команд open_link и cmd

На скриншоте ниже представлен фрагмент кода, отвечающий за загрузку файлов с C2 и их последующий запуск:

Рис.22 Фрагмент кода, отвечающий за загрузку и запуск файлов с C2

На скриншоте ниже представлен фрагмент кода, отвечающий за работу VNC (эмуляция мыши и клавиатуры):

Рис.23 Фрагмент кода, отвечающий за работу VNC

На скриншоте ниже представлен фрагмент кода, отвечающий за закрепление в системе и добавление исполняемого файла вредоносной программы RADX RAT в исключение Windows Defender:

Рис.24 Фрагмент кода, отвечающий за закрепление в системе и добавление в исключение Windows Defender

На скриншоте ниже представлен фрагмент кода, отвечающий за сбор файлов с расширениями *.txt, *.doc, *.docx, *.xlsx, *.xls в каталоге %USERPROFILE%\Desktop:

Рис.25 Фрагмент кода, отвечающий за сбор файлов из каталога рабочего стола

Учитывая успешный опыт обнаружения и блокировки вышеописанных фишинговых атак, мы рекомендуем использовать для проактивного поиска и защиты от сложных и неизвестных киберугроз систему  F.A.С.С.T. Managed XDR обеспечивает защиту от широкого спектра киберрисков, среди которых программы-шифровальщики, банковские трояны, шпионы, бэкдоры, вредоносные скрипты и скрытые каналы передачи данных, как внутри, так и за пределами защищенного периметра.

MITRE ATT&CK^®

YARA-правило