Розбір CrashFix: Нова іграшка від KongTuke

graph TB %% Class definitions classDef action fill:#FFEEAA classDef tool fill:#99CCFF classDef malware fill:#FF9999 classDef process fill:#CCFFCC classDef persistence fill:#D9D9D9 classDef operator fill:#FFCC66 %% Nodes content_injection[“<b>Дія</b> – <b>T1659 Інʼєкція контенту</b><br/>Шкідлива реклама перенаправляє жертву на фальшиву сторінку Chrome Web Store із пропозицією встановити шкідливе розширення”] class content_injection action software_extension[“<b>Дія</b> – <b>T1176 Програмні розширення</b><br/>У браузер встановлюється шкідливе розширення, що маскується під uBlock Origin Lite”] class software_extension action extension_nexshield[“<b>Інструмент</b> – <b>Назва</b>: NexShield (шкідливе розширення Chrome)<br/><b>Опис</b>: Забезпечує стійкість та виконує подальшу шкідливу логіку”] class extension_nexshield tool user_execution[“<b>Дія</b> – <b>T1204.004 Виконання користувачем</b><br/>Розширення копіює команду PowerShell у буфер обміну, після чого жертва запускає її через Win+R”] class user_execution action powershell_process[“<b>Процес</b> – <b>T1059.001 PowerShell</b><br/>Виконує команду PowerShell, яка завантажує додаткові корисні навантаження”] class powershell_process process cmd_process[“<b>Процес</b> – <b>T1059.003 Командна оболонка Windows</b><br/>PowerShell викликає cmd.exe для виконання наступних етапів”] class cmd_process process sandbox_evasion[“<b>Дія</b> – <b>T1497.002 Ухилення від віртуалізації / пісочниці</b><br/>Корисне навантаження виконує розширені перевірки VM, пісочниць та інструментів аналізу”] class sandbox_evasion action dos_exhaustion[“<b>Дія</b> – <b>T1499.003 Відмова в обслуговуванні кінцевої точки</b><br/>Створює мільярди портів середовища виконання Chrome для виснаження CPU та памʼяті, що спричиняє збій браузера”] class dos_exhaustion action event_trigger[“<b>Дія</b> – <b>T1546 Виконання, ініційоване подією</b><br/>Використовує Chrome Alarms API для затримки шкідливих дій на 60 хвилин та повторення кожні 10 хвилин”] class event_trigger action dead_drop[“<b>Дія</b> – <b>T1102.001 Dead Drop Resolver веб-сервісу</b><br/>Звертається до динамічно згенерованих DGA-доменів для отримання наступних етапів”] class dead_drop action dga_resolution[“<b>Дія</b> – <b>T1568 Динамічне визначення адрес</b><br/>Алгоритм генерації доменів створює домени, що змінюються щотижня, для C2”] class dga_resolution action bidirectional_comm[“<b>Дія</b> – <b>T1102.002 Двонапрямна комунікація через веб-сервіси</b><br/>ModeloRAT обмінюється зашифрованими командами та відповідями через HTTP”] class bidirectional_comm action oneway_comm[“<b>Дія</b> – <b>T1102.003 Односпрямована комунікація через веб-сервіси</b><br/>Надсилає телеметрію та дані інсталяції/оновлення на сервер під контролем зловмисника”] class oneway_comm action encrypted_rc4[“<b>Дія</b> – <b>T1573.001 Зашифрований канал</b><br/>Трафік C2 зашифрований симетричним алгоритмом RC4”] class encrypted_rc4 action obfuscation[“<b>Дія</b> – <b>T1027 Обфусковані файли або інформація</b><br/>Корисні навантаження багатошарово зашифровані за допомогою Base64, XOR та AES”] class obfuscation action stripped_payload[“<b>Дія</b> – <b>T1027.008 Очищені корисні навантаження</b><br/>Корисні навантаження очищені та закодовані для ускладнення аналізу”] class stripped_payload action embedded_payload[“<b>Дія</b> – <b>T1027.009 Вбудовані корисні навантаження</b><br/>Зашифровані корисні навантаження завантажуються безпосередньо в памʼять”] class embedded_payload action appcert_dll[“<b>Дія</b> – <b>T1546.009 Виконання, ініційоване подією: AppCert DLL</b><br/>DoS-цикл використовує порти середовища виконання Chrome, аналогічно техніці AppCert DLL”] class appcert_dll action remote_access_tool[“<b>Шкідливе ПЗ</b> – <b>T1219 Засоби віддаленого доступу</b><br/>ModeloRAT забезпечує повні можливості віддаленого доступу”] class remote_access_tool malware persistence_run[“<b>Дія</b> – <b>T1554 Компрометація бінарного файлу ПЗ хоста</b><br/>Запис HKCU\\Software\\Microsoft\\Windows\\CurrentVersion\\Run запускає pythonw.exe для забезпечення стійкості”] class persistence_run persistence exec_guardrail[“<b>Дія</b> – <b>T1480.002 Обмеження виконання</b><br/>Перевіряє попереднє виконання через UUID-маяки для запобігання повторному зараженню”] class exec_guardrail action %% Edges content_injection –>|leads_to| software_extension software_extension –>|installs| extension_nexshield extension_nexshield –>|provides_persistence| persistence_run extension_nexshield –>|copies_command| user_execution user_execution –>|triggers| powershell_process powershell_process –>|launches| cmd_process powershell_process –>|performs| sandbox_evasion sandbox_evasion –>|allows| powershell_process powershell_process –>|creates| dos_exhaustion dos_exhaustion –>|uses| appcert_dll extension_nexshield –>|sets| event_trigger event_trigger –>|delays| powershell_process powershell_process –>|contacts| dead_drop dead_drop –>|uses| dga_resolution dga_resolution –>|provides| bidirectional_comm bidirectional_comm –>|encrypts_with| encrypted_rc4 bidirectional_comm –>|exchanges_with| remote_access_tool oneway_comm –>|sends_to| encrypted_rc4 powershell_process –>|obfuscates_using| obfuscation obfuscation –>|includes| stripped_payload obfuscation –>|includes| embedded_payload remote_access_tool –>|communicates_via| bidirectional_comm remote_access_tool –>|sends_telemetry| oneway_comm persistence_run –>|creates| exec_guardrail exec_guardrail –>|prevents| persistence_run

Потік Атаки