Remcos RAT націлюється на корейських користувачів у рамках поточної кампанії розповсюдження

“graph TB %% Визначення класів classDef action fill:#99ccff classDef tool fill:#ffcc99 classDef malware fill:#ff9999 classDef process fill:#cccccc %% Вузли action_initial_access[“<b>Дія</b> – <b>T1204.002 Виконання користувача</b>: Жертви завантажують шкідливі виконувані файли, замасковані під установники VeraCrypt або інструменти перевірки списків блокування азартних ігор.”] class action_initial_access action tool_malicious_installer[“<b>Інструмент</b> – <b>Назва</b>: Фальшивий установник VeraCrypt<br /><b>Опис</b>: Виконуваний файл, замаскований для захоплення виконання користувачем.”] class tool_malicious_installer tool action_execution_vbs[“<b>Дія</b> – <b>T1059.005 Visual Basic</b>: VBS скрипти записуються в %TEMP% і виконуються.”] class action_execution_vbs action tool_vbs_script[“<b>Інструмент</b> – <b>Назва</b>: VBS Скрипт<br /><b>Розташування</b>: %TEMP%”] class tool_vbs_script tool action_execution_powershell[“<b>Дія</b> – <b>T1059.001 PowerShell</b>: PowerShell скрипти-завантажувачі отримують додаткові навантаження.”] class action_execution_powershell action tool_ps_downloader[“<b>Інструмент</b> – <b>Назва</b>: PowerShell Завантажувач<br /><b>Функція</b>: Одержує навантаження з віддаленого сервера.”] class tool_ps_downloader tool action_obfuscation[“<b>Дія</b> – Техніки заплутування: Base64 кодування, непотрібний код, поліморфні секції, динамічна резолюція API (T1027.008, T1027.014, T1027.016, T1027.007).”] class action_obfuscation action action_defense_evasion[“<b>Дія</b> – <b>T1055 Ін’єкція процесу</b>: .NET інжектор впорскує Remcos RAT у довірений процес AddInProcess32.exe.”] class action_defense_evasion action tool_dotnet_injector[“<b>Інструмент</b> – <b>Назва</b>: .NET Інжектор<br /><b>Призначення</b>: Вдовує шкідливий код у інші процеси.”] class tool_dotnet_injector tool process_addinprocess[“<b>Процес</b> – <b>Назва</b>: AddInProcess32.exe<br /><b>Законність</b>: Довірений процес Microsoft Office.”] class process_addinprocess process malware_remcos[“<b>Шкідлива програма</b> – <b>Назва</b>: Remcos RAT<br /><b>Здібності</b>: Віддалене управління, збирання облікових даних, кейлогінг, захоплення медіа.”] class malware_remcos malware action_browser_cred[“<b>Дія</b> – <b>T1555.003 Облікові дані в браузерах</b>: Збирає збережені облікові дані браузера.”] class action_browser_cred action action_keylogging[“<b>Дія</b> – <b>T1056.001 Кейлогінг</b>: Захоплює натискання клавіш.”] class action_keylogging action action_collection[“<b>Дія</b> – Збір даних користувача через екран, аудіо та відео.”] class action_collection action action_screenshot[“<b>Дія</b> – <b>T1113 Захоплення екрану</b>: Захоплює знімки екрану.”] class action_screenshot action action_audio[“<b>Дія</b> – <b>T1123 Захоплення аудіо</b>: Записує аудіо з мікрофону.”] class action_audio action action_video[“<b>Дія</b> – <b>T1125 Захоплення відео</b>: Захоплює відео з веб-камери.”] class action_video action action_c2[“<b>Дія</b> – <b>T1071.001 Веб-протоколи</b>: Захищене веб-спілкування та використання вебхуку Discord.”] class action_c2 action tool_discord_webhook[“<b>Інструмент</b> – <b>Назва</b>: Вебхук Discord<br /><b>Використання</b>: Канал для фіксації та ексфільтрації.”] class tool_discord_webhook tool action_exfiltration[“<b>Дія</b> – <b>T1567.004 Ексфільтрація через веб-служби</b>: Дані відправляються нападнику через вебхук Discord.”] class action_exfiltration action %% Зв’язки action_initial_access u002du002d>|використовує| tool_malicious_installer tool_malicious_installer u002du002d>|доставляє| action_execution_vbs action_execution_vbs u002du002d>|записує_та_виконує| tool_vbs_script action_execution_vbs u002du002d>|запускає| action_execution_powershell tool_ps_downloader u002du002d>|завантажує_навантаження| action_obfuscation action_obfuscation u002du002d>|дозволяє| action_defense_evasion action_defense_evasion u002du002d>|впорскує| tool_dotnet_injector tool_dotnet_injector u002du002d>|цілить| process_addinprocess process_addinprocess u002du002d>|розміщує| malware_remcos malware_remcos u002du002d>|збирає| action_browser_cred malware_remcos u002du002d>|записує| action_keylogging malware_remcos u002du002d>|захоплює| action_collection action_collection u002du002d>|знімки_екрану| action_screenshot action_collection u002du002d>|аудіо| action_audio action_collection u002du002d>|відео| action_video malware_remcos u002du002d>|спілкується| action_c2 action_c2 u002du002d>|використовує| tool_discord_webhook action_c2 u002du002d>|відправляє_дані| action_exfiltration action_exfiltration u002du002d>|через| tool_discord_webhook “

Потік атаки