Інфікування Lumma Stealer з Sectop RAT (ArechClient2)

Ruslan Mikhalov Керівник досліджень загроз у SOC Prime

Стежити

Інфікування Lumma Stealer з Sectop RAT (ArechClient2)

Detection stack

AIDR
Alert
ETL
Query

Звіт про загрози
Потік атаки
Виявлення
Симуляції

Резюме

Звіт описує двоетапний ланцюг інфекції, у якому Lumma Stealer спочатку доставляється через архів 7-Zip, захищений паролем, після чого завантажується Sectop RAT (ArechClient2) DLL на пізньому етапі. Перший корисний вантаж надходить у формі громіздкого виконуваного файлу Windows, доповненого нульовими байтами, тактика, ймовірно, призначена для уникнення виявлення і ускладнення аналізу. Шкідливе ПЗ поширюється через зламані сторінки завантаження, які імітують легітимні сервіси, збільшуючи ймовірність виконання користувачем. Телеметрія мережі пов’язувала активність із кількома шкідливими доменами та відомою IP-адресою, що використовувалася для управління і контролю.

Розслідування

Аналітик отримав шкідливий архів, вилучив із нього перевеликий виконуваний файл та дослідив його зменшену форму після видалення додаткових даних. Аналіз у пісочниці виявив кілька доменів командування та контролю, пов’язаних із Lumma Stealer, а також окремий DLL компонент, який завантажив Sectop RAT через rundll32. Захоплення мережі також показало трафік HTTP до шкідливої IP-адреси через порти 9000 і 443, при цьому передані дані, здається, були закодованими.

Заходи щодо пом’якшення

Організації повинні використовувати інструменти інспекції вмісту, здатні виявляти роздуті виконувані файли та архіви, захищені паролем. Відомі шкідливі домени та IP-адреси, пов’язані з кампанією, повинні бути заблоковані на мережевому рівні. Захисники також повинні контролювати підозрілу rundll32 активність, яка пов’язана з несподіваними DLL і відстежувати вихідні з’єднання до виявленої інфраструктури управління і контролю. Суворий контроль завантажень і обмеження на сайти обміну файлами, що розміщують зламаний або ненадійний програмний продукт, можуть ще більше зменшити ризик експозиції.

Відповідь

Команди безпеки повинні бути у стані тривоги, коли архіви 7-Zip, захищені паролем, завантажуються з підозрілих URL. Додаткове виявлення повинно зосереджуватися на виконанні незвично великих роздуті виконувані файли та rundll32 запуск DLL з тимчасових або доступних користувачеві каталогів. Телеметрію мережі слід співвідносити з вказаними доменами та IP-адресами, і всі уражені системи повинні бути негайно ізольовані для розслідування та усунення.

"graph TB %% Class definitions classDef technique fill:#ffcc99 classDef tool fill:#c2f0c2 classDef malware fill:#ffb3b3 classDef operator fill:#ff9900 %% Nodes technique_content_injection["Техніка – T1659 Впорскування Контенту Компроміс веб-сайтів для впорскування шкідливих ресурсів, таких як посилання для завантаження."] class technique_content_injection technique tool_lumma_stealer["Інструмент – Ім’я: Lumma Stealer Функція: Збирає збережені паролі та записи менеджера облікових даних."] class tool_lumma_stealer tool technique_obfuscation_files["Техніка – T1027 Обфускація Файлів або Інформації Кодування або шифрування корисних навантажень для приховування шкідливого вмісту."] class technique_obfuscation_files technique technique_compression["Техніка – T1027.015 Архів за допомогою Утиліти Використання архіву 7u2011zip, захищеного паролем, для приховування корисного навантаження."] class technique_compression technique technique_credential_store["Техніка – T1555 Облікові Дані з Сховищ Паролів Витягування облікових даних, збережених у браузерах, додатках або сховищах ОС."] class technique_credential_store technique technique_credential_manager["Техніка – T1555.004 Менеджер Облікових Даних Windows Вилучення облікових даних, збережених у Менеджері Облікових Даних Windows."] class technique_credential_manager technique technique_unsecured_file["Техніка – T1552.001 Незахищені Облікові Дані у Файлах Читання даних облікових даних, залишених у файлах з відкритим текстом."] class technique_unsecured_file technique technique_rundll32_proxy["Техніка – T1218.011 Rundll32 Виконання DLL коду через rundll32.exe з точкою входу LoadForm."] class technique_rundll32_proxy technique technique_appcert_dll["Техніка – T1546.009 AppCert DLL Тригерне завантаження DLL через механізм Сертифікації Застосувань."] class technique_appcert_dll technique malware_netgui_dll["Шкідливе ПЗ – Ім’я: NetGui.dll Роль: Завантажений DLL, що завантажується через rundll32."] class malware_netgui_dll malware technique_web_protocol["Техніка – T1071.001 Веб Протоколи Використання HTTP/HTTPS для трафіку командування і контролю."] class technique_web_protocol technique technique_bidirectional["Техніка – T1102.002 Двостороннє Веб Обслуговування Обмін командами та даними через канал веб обслуговування."] class technique_bidirectional technique technique_encrypted_channel["Техніка – T1573 Зашифрований Канал Шифрування C2 трафіку для уникнення виявлення."] class technique_encrypted_channel technique technique_protocol_tunneling["Техніка – T1572 Тунелювання Протоколу Інкапсуляція шкідливого трафіку всередині легітимних протоколів."] class technique_protocol_tunneling technique technique_data_obfuscation["Техніка – T1001 Обфускація Даних Обфускація даних корисного навантаження для приховування його призначення."] class technique_data_obfuscation technique %% Connections technique_content_injection –>|використовує| tool_lumma_stealer tool_lumma_stealer –>|доставляє| technique_obfuscation_files technique_obfuscation_files –>|включає| technique_compression technique_compression –>|веде до| technique_credential_store technique_credential_store –>|також використовує| technique_credential_manager technique_credential_manager –>|і| technique_unsecured_file technique_unsecured_file –>|активізує| technique_rundll32_proxy technique_rundll32_proxy –>|завантажує| malware_netgui_dll malware_netgui_dll –>|тригер| technique_appcert_dll technique_appcert_dll –>|встановлює| technique_web_protocol technique_web_protocol –>|використовує| technique_bidirectional technique_bidirectional –>|захищено| technique_encrypted_channel technique_encrypted_channel –>|додатково приховано через| technique_protocol_tunneling technique_protocol_tunneling –>|використовує| technique_data_obfuscation "

Потік Атаки

# Симуляція вкидання Lumma Stealer та ін'єкції DLL
$archiveName = "adobe_premiere_pro_(2026)_full_v26.0.2_español_[mega].7z"
$downloadDir = "$env:USERPROFILEDownloads"
$tempDllPath = "$env:LOCALAPPDATATemp16XBPQ29ZBG94TYNOA.dll"

# Крок 1: Створіть фальш-файл архіву (імітація завантаження)
New-Item -Path (Join-Path $downloadDir $archiveName) -ItemType File -Force | Out-Null

# Крок 2: Імітація вилучення - створення шкідливого DLL у тимчасовій папці
New-Item -Path $tempDllPath -ItemType File -Force | Out-Null

Write-Host "Симуляція завершено: $archiveName створений і DLL завантажений у Тимчасовий каталог."

Команди Очищення:

# Видаліть симульовані артефакти
Remove-Item -Path "$env:USERPROFILEDownloadsadobe_premiere_pro_(2026)_full_v26.0.2_español_[mega].7z" -Force -ErrorAction SilentlyContinue
Remove-Item -Path "$env:LOCALAPPDATATemp16XBPQ29ZBG94TYNOA.dll" -Force -ErrorAction SilentlyContinue
Write-Host "Очищення завершено."

Приєднуйтесь до платформи Detection as Code від SOC Prime щоб покращити видимість загроз, найбільш актуальних для вашого бізнесу. Щоб допомогти вам розпочати та отримати негайну цінність, забронюйте зустріч зараз з експертами SOC Prime.

Приєднатися безкоштовно