RAT di Telegram basato su Rebex che prende di mira il Vietnam

Ruslan Mikhalov Capo della Ricerca sulle Minacce presso SOC Prime

Segui

RAT di Telegram basato su Rebex che prende di mira il Vietnam

Detection stack

AIDR
Alert
ETL
Query

Rapporto
Flusso di Attacco
Rilevamenti
Simulazioni

Sommario

Un file CHM malevolo fornito all’interno di un archivio ZIP rilascia un runtime Python dannoso insieme a una DLL C++ che decripta un payload incorporato. Quel payload stabilisce la persistenza attraverso un hijack della shell di Winlogon, un’attività pianificata e l’abuso di MSBuild, quindi lancia un RAT basato su .NET Telegram. Il malware comunica con un bot di Telegram utilizzando un token codificato e supporta l’esecuzione di comandi, la sostituzione di token e il download di file. La campagna è stata osservata colpire vittime in Vietnam e attualmente non mostra rilevamenti su VirusTotal.

Indagine

L’analisi del file CHM ha rivelato uno script che decompilava l’archivio, cancellava PYTHONHOME, e lanciava un eseguibile Python rinominato con un file di bytecode compilato. Il bytecode quindi caricava una DLL che decriptava un blob DOCX crittografato, estraeva componenti aggiuntivi e li scriveva in posizioni temporanee. La DLL creava voci nel registro, pianificava un’attività chiamata Doubt, ed eseguiva un MSBuild file XML per caricare una seconda DLL, che alla fine distribuiva il RAT Telegram .NET. Il RAT si basava su credenziali codificate del bot Telegram per il comando e controllo.

Mitigazione

I difensori dovrebbero bloccare l’esecuzione dei file CHM da fonti non attendibili e limitare l’uso di hh.exe, msbuild.exe, e PowerShell per script non firmati o sospetti. Il monitoraggio dovrebbe concentrarsi sulle modifiche del registro della Shell di Winlogon, sulla creazione insolita di attività pianificate e sui nuovi DLL rilasciati nelle directory temporanee. Le organizzazioni dovrebbero anche ispezionare il traffico API di Telegram attraverso controlli proxy e applicare l’accesso minimo necessario per gli utenti finali. Shell registry modifications, unusual scheduled task creation, and newly dropped DLLs in temporary directories. Organizations should also inspect Telegram API traffic through proxy controls and enforce least-privilege access for end users.

Risposta

I team di sicurezza dovrebbero identificare e isolare i dispositivi compromessi, raccogliere prove volatili ed estrarre le DLL e gli script malevoli per l’analisi. Il valore di Winlogon e l’attività pianificata dovrebbero essere rimossi, i file depositati cancellati e le impostazioni del registro modificate ripristinate a uno stato noto buono. Qualsiasi token del bot Telegram esposto deve essere ruotato immediatamente e i difensori devono continuare a monitorare per ulteriori attività di comando e controllo. È raccomandata un’indagine forense completa per determinare se i dati siano stati esfiltrati. Shell value and the scheduled task should be removed, dropped files deleted, and altered registry settings restored to a known-good state. Any exposed Telegram bot tokens should be rotated immediately, and defenders should continue monitoring for additional command-and-control activity. A full forensic investigation is recommended to determine whether data was exfiltrated.

"graph TB %% Class definitions classDef action fill:#99ccff classDef tool fill:#ffcc99 classDef malware fill:#ff9999 classDef process fill:#ccccff classDef registry fill:#ffddaa %% Nodes initial_access_phishing["Azione – T1566.001 Allegato Spearphishing Email con CHM malevolo travestito da documento Word inviato alla vittima."] class initial_access_phishing action file_chm["Malware – File: CV – Vu PLPC KT nam 2026.chm Travestito con doppia estensione per apparire come .doc."] class file_chm malware defense_masquerade["Azione – T1036.008 Mascheramento Il file CHM si spaccia per un documento Word utilizzando la doppia estensione."] class defense_masquerade action defense_obfuscation["Azione – T1027.006 File o Informazioni Offuscati Il contrabbando HTML nasconde il codice malevolo all’interno del CHM."] class defense_obfuscation action execution_user["Azione – T1204.002 Esecuzione Utente La vittima apre il CHM, HTML/JS esegue il tag OBJECT lanciando cmd.exe."] class execution_user action process_cmd["Processo – cmd.exe Lanciato dal CHM tramite il tag OBJECT."] class process_cmd process execution_msbuild["Azione – T1127.001 Esecuzione Proxy Utility Sviluppatore Attendibile Lo script rilascia mechaniSm.xml e chiama msbuild.exe per caricare DLL .NET malevola."] class execution_msbuild action tool_msbuild["Strumento – msbuild.exe Utilizzato per caricare ioy24euj.dll."] class tool_msbuild tool file_dll["Malware – DLL: ioy24euj.dll Contiene il codice .NET per persistenza e consegna del payload."] class file_dll malware persistence_autostart["Azione – T1547.014 Configurazione Attiva La DLL modifica HKCUSoftwareMicrosoftWindows NTCurrentVersionWinlogonShell per puntare al wrapper msbuild rinominato."] class persistence_autostart action registry_mod["Registro – HKCUSoftwareMicrosoftWindows NTCurrentVersionWinlogonShell Impostato sul wrapper msbuild personalizzato per l’autou2011run."] class registry_mod registry persistence_event["Azione – T1546.009 DLL AppCert DLL caricata tramite ctypes.CDLL e successivamente eseguita per decrittografare ulteriori payloads."] class persistence_event action dll_load["Processo – ctypes.CDLL load Carica la DLL malevola nello spazio di processo."] class dll_load process privilege_injection["Azione – T1055.001 Iniezione di Processo La DLL inietta codice in cmd.exe per eseguire i payloads."] class privilege_injection action process_injection["Processo – Iniezione DLL in cmd.exe Consente l’esecuzione di ulteriori routine malevole."] class process_injection process command_and_control["Azione – T1573 Canale Crittografato .NET RAT comunica con il bot di Telegram usando messaggi XORu2011crittografati e codificati base64."] class command_and_control action c2_telegram["Strumento – Bot di Telegram Riceve comandi ed esfiltra dati tramite canale crittografato."] class c2_telegram tool impact_shutdown["Azione – T1529 Arresto/Spegnimento del Sistema Attività pianificata u201cDoubtu201d creata per spegnere il sistema ogni Venerdì a mezzanotte."] class impact_shutdown action scheduled_task["Processo – Attività Pianificata u201cDoubtu201d Attiva lo spegnimento del sistema a data fissa."] class scheduled_task process %% Connections initial_access_phishing –>|fornisce| file_chm file_chm –>|utilizza| defense_masquerade file_chm –>|utilizza| defense_obfuscation file_chm –>|attiva| execution_user execution_user –>|lancia| process_cmd process_cmd –>|abilita| execution_msbuild execution_msbuild –>|utilizza| tool_msbuild tool_msbuild –>|carica| file_dll file_dll –>|abilita| persistence_autostart persistence_autostart –>|modifica| registry_mod file_dll –>|abilita| persistence_event persistence_event –>|carica tramite| dll_load dll_load –>|esegue| privilege_injection privilege_injection –>|inietta in| process_injection process_injection –>|facilita| command_and_control command_and_control –>|utilizza| c2_telegram command_and_control –>|porta a| impact_shutdown impact_shutdown –>|crea| scheduled_task "

Flusso di Attacco

Narrazione dell’Attacco & Comandi
1. Consegna: L’attaccante consegna un file .chm malevolo (chiamato UpdateHelp.chm) alla vittima.
2. Decompilazione: La vittima (o uno script malevolo) esegue hh.exe con il -decompile flag per estrarre il payload incorporato:
```
hh.exe -decompile C:TempPayloads C:UsersPublicUpdateHelp.chm
```
  Questo genera l’evento processo‑creazione che la regola osserva (hh.exe + -decompile).
3. Esecuzione del Payload – Interprete Rinominato: All’interno dei file estratti c’è un interprete Python rinominato (_pJifgWSwPi.exe). L’attaccante lo avvia tramite cmd.exe per mantenere un basso profilo:
```
cmd.exe /c "C:TempPayloads_pJifgWSwPi.exe -c "import os; os.system('whoami')""
```
  Questo soddisfa la condizione della cmd.exe regola.
4. Proxy di Binary Firmato – Msbuild: Il payload Python scrive un file .proj malevolo e quindi invoca msbuild.exe per eseguirlo, ottenendo persistenza o ulteriore esecuzione del codice:
```
msbuild.exe C:TempPayloadsmalicious.proj /target:Build
```

Script di Test Regressivo

#=============================================================
# Simulazione di Attacco Basato su CHM – Attiva Regola Sigma
#=============================================================

# Variabili
$chmPath   = "C:UsersPublicUpdateHelp.chm"
$outFolder = "C:TempPayloads"
$renamedPy = "_pJifgWSwPi.exe"
$projFile  = "malicious.proj"

# 1. Assicurarsi che la cartella di output esista
New-Item -ItemType Directory -Force -Path $outFolder | Out-Null

# 2. Simulare la decompilazione del file CHM
Write-Host "[*] Decompiling CHM..."
hh.exe -decompile $outFolder $chmPath

# 3. Posizionare una copia di python.exe (o qualsiasi exe benigno) come interprete rinominato
Copy-Item -Path "$env:SystemRootSystem32WindowsPowerShellv1.0powershell.exe" `
          -Destination "$outFolder$renamedPy" -Force

# 4. Eseguire l'interprete rinominato tramite cmd.exe
Write-Host "[*] Launching renamed interpreter via cmd.exe..."
cmd.exe /c "`"$outFolder$renamedPy`" -c `"Write-Host 'Simulated payload executed'`""

# 5. Creare un progetto msbuild banale che visualizzi un messaggio
$projContent = @"
<Project ToolsVersion='4.0' xmlns='http://schemas.microsoft.com/developer/msbuild/2003'>
  <Target Name='Build'>
    <Message Text='Msbuild executed malicious project' Importance='High'/>
  </Target>
</Project>
"@
Set-Content -Path "$outFolder$projFile" -Value $projContent -Encoding ASCII

# 6. Eseguire msbuild.exe sul progetto malevolo
Write-Host "[*] Executing msbuild.exe..."
msbuild.exe "$outFolder$projFile" /target:Build

Write-Host "[+] Simulazione completata."

Comandi di Pulizia

# Interrompere eventuali processi residui (se ancora in esecuzione)
Get-Process -Name "_pJifgWSwPi","hh","msbuild","cmd" -ErrorAction SilentlyContinue |
  Stop-Process -Force

# Rimuovere file e cartelle generate
Remove-Item -Recurse -Force -Path "C:TempPayloads"
# Opzionalmente eliminare il file CHM se è stato creato per il test
Remove-Item -Force -Path "C:UsersPublicUpdateHelp.chm" -ErrorAction SilentlyContinue

Write-Host "[+] Pulizia completata."

Unisciti alla piattaforma Detection as Code di SOC Prime per migliorare la visibilità sulle minacce più rilevanti per il tuo business. Per aiutarti a iniziare e aumentare immediatamente il valore, prenota ora un incontro con gli esperti di SOC Prime.

Iscriviti gratis