Внутрішня архітектура Vidar 2026: Від зараження до виконання в пам’яті

Резюме

Звіт аналізує, як Vidar еволюціонував у багатостадійну, безфайлову атаку, що об’єднує завантажувачі на базі Go, VBS, PowerShell та користується легітимними утилітами Windows для завантаження шкідливого вмісту, прихованого в JPEG та TXT файлах, розташованих на віддаленій IP-адресі. Інтегровані пейлоуди вилучаються, декодуються та виконуються безпосередньо у пам’яті через RegAsm.exe, уникаючи виявлення на диску. Початкова передача здійснюється через соціально-інженерні приманки, такі як фальшиві репозиторії GitHub, зламані сайти WordPress та фальшиві сторінки CAPTCHA. Кампанія також використовує домени, розміщені через Telegram і Cloudflare, для командування і управління та ексфільтрації даних.

Розслідування

Дослідники Point Wild відстежили повний ланцюг зараження від початкового завантажувача на Go до кінцевого пейлоуда Vidar, документуючи кожен шар обфускації на цьому шляху. Їхній аналіз висвітлив використання користувацьких Base64 маркерів, перевернутих рядків і відбивного завантаження збірки .NET для прихованого виконання. Дослідники також описали, як WScript, PowerShell і RegAsm.exe були зловживані як проксі для виконання, що дозволило шкідливому програмному забезпеченню декодувати та запускати приховану DLL повністю у пам’яті. Мережева активність додатково підтверджувала отримання за допомогою HTTP інсценованих JPEG та TXT пейлоудів з жортко закодованої IP-адреси.

Захист

Захисники повинні зосередитися на виявленні початкових стадій зараження у вигляді VBS та PowerShell, включаючи підозріле використання RegAsm.exe, завантаження JPEG або TXT файлів із шкідливої IP та розпізнаваними Base64 маркерами. Блокування відомих шкідливих доменів і IP-адрес, моніторинг вихідного трафіку до Telegram і застосування контрольованого виконання для загальновідомих утиліт LOLBin може допомогти зменшити ризик експозиції. Також настійно рекомендується поведінкове детектування, налаштоване на безфайлове виконання та техніки завантаження у пам’ять.

Відповідь

Якщо ідентифіковано індикатори, прив’язані до ланцюга інфекції Vidar, негайно ізолюйте ураженого хоста, зупиніть підозрілі процеси, такі як WScript, PowerShell і RegAsm.exe, і зберіть образи пам’яті для судово-медичного огляду. Виявлену IP-адресу та пов’язані домени слід заблокувати, а будь-які ярлики автозапуску або заплановані завдання, які використовуються для стійкості, видалити. Команди безпеки також повинні провести повний перегляд облікових даних з акцентом на відкриті дані браузера, розширення та криптовалютні гаманці.

Виконання симуляції

Передумова: Попередня перевірка телеметрії та базової лінії повинна бути виконана.

Мотивування: Цей розділ детально описує точне виконання техніки нападу (TTP), призначеної для спрацьовування правила виявлення. Команди та опис ПОВИННІ прямо відображати виявлені TTPs і мати за мету генерувати точну телеметрію, очікувану логікою виявлення.

• Атака: Наратив і команди:

  1. Початковий Завантажувач (WScript): Атакуючий поставляє шкідливий JScript файл (payload.js), який запускається за допомогою WScript.exe. Скрипт завантажує шкідливий пейлоуд в форматі base64 та в форматі PowerShell з C2 сервера та записує його у %TEMP%.
  2. Етап Powershell: Завантажений пейлоуд виконується з -ExecutionPolicy Bypass -NoProfile -WindowStyle Hidden, проводить відбивне завантаження DLL (T1620) шкідливої збірки .NET (evil.dll) у пам’ять та зкидає збірку на диск.
  3. RegAsm Проксі: Щоб ухилитися від виявлення з боку рідного PowerShell, атакуючий викликає RegAsm.exe , вказуючи на evil.dll з перемикачем /codebase , що спричиняє виконання шкідливого початкового пункту (T1574.014).

  Ланцюг створює три окремих події Sysmon—кожна з яких відповідає Image|endswith селектору—таким чином, спрацьовує попередження.

• Тест скрипту регресії: Наводиться скрипт, який відтворює вищезазначений ланцюг у безпечній, ізольованій формі за допомогою безпечних команд echo та фейкової DLL (простого текстового файлу) щоб уникнути реальної шкідливої активності, але при цьому генеруючи ті ж самі події створення процесу.

  <#  
  Симуляція багатостадійного виконання в стилі Vidar  
  - Етап 1: WScript запускає JScript, що записує скрипт PowerShell у %TEMP%  
  - Етап 2: PowerShell виконує скрипт, створює фейкову DLL та запускає RegAsm  
  #>
  
  # ---------- Етап 1: WScript ----------
  $jsPath = "$env:TEMPstage1.js"
  $psPayloadPath = "$env:TEMPstage2.ps1"
  $dummyDllPath = "$env:TEMPevil.dll"
  
  # JScript, який записує простий скрипт PowerShell на диск
  $jsContent = @"
  var fso = new ActiveXObject("Scripting.FileSystemObject");
  var ts = fso.OpenTextFile("$psPayloadPath", 2, true);
  ts.WriteLine('Write-Host "[Stage 2] PowerShell виконується"');
  ts.WriteLine('Set-Content -Path "$dummyDllPath" -Value "Це фейкова DLL"');
  ts.WriteLine('Start-Process -FilePath "$env:SystemRootMicrosoft.NETFramework64v4.0.30319RegAsm.exe" -ArgumentList "`"$dummyDllPath`" /codebase" -NoNewWindow');
  ts.Close();
  "@
  
  Set-Content -Path $jsPath -Value $jsContent -Encoding ASCII
  
  # Виконати JScript через WScript
  Write-Host "`n[Етап 1] Запуск WScript..."
  & "$env:SystemRootSystem32WScript.exe" $jsPath
  
  # ---------- Етап 2: PowerShell ----------
  Write-Host "`n[Етап 2] Виконання згенерованого скрипту PowerShell..."
  & powershell.exe -NoProfile -ExecutionPolicy Bypass -File $psPayloadPath
  
  # ---------- Очищення ----------
  Write-Host "`nОчищення тимчасових файлів..."
  Remove-Item -Path $jsPath, $psPayloadPath, $dummyDllPath -Force -ErrorAction SilentlyContinue

• Команди очищення: Крім очищення в кінці скрипту, виконайте наступне, щоб уникнути залишкових процесів або файлів.

  # Примусово зупинити будь-які процеси RegAsm або PowerShell, запущені під час тесту
  Get-Process -Name regasm, powershell -ErrorAction SilentlyContinue | Stop-Process -Force
  
  # Видалити будь-які залишкові файли у %TEMP%, що відповідають тестовій моделі
  Get-ChildItem -Path $env:TEMP -Filter "stage*.*" -File | Remove-Item -Force