AsyncRAT доставляється через загрози пов’язані із штучним інтелектом

SOC Prime Team

Стежити

AsyncRAT доставляється через загрози пов’язані із штучним інтелектом

Detection stack

AIDR
Alert
ETL
Query

Звіт про загрози
Потік атаки
Виявлення
Симуляції

Резюме

Зловмисники використовують лурінги на тему штучного інтелекту для поширення багатоступеневого ланцюга зараження шкідливим ПЗ. Атака об’єднує скрипти на етапах, завантажувачі на базі AutoHotkey та заповнення процесу для розгортання як троянської програми віддаленого доступу .NET, так і AsyncRAT. Одним з помітних аспектів кампанії є очевидне використання розробки з підтримкою ШІ, що відображається у спрощених китайських назвах змінних та коментарях коду, вбудованих у шкідливе ПЗ.

Дослідження

Лабораторії FortiGuard досліджували складну послідовність вторгнення, яка почалася зі шкідливого архіву ZIP, що містить LNK-файл. Їхній аналіз виявив кілька етапів екстракції корисного навантаження з контейнера на основі PDF, після чого відбувся рефлективний інжекшн під керівництвом AutoHotkey та фінальне розгортання модульного .NET RAT разом з AsyncRAT. Дослідники також задокументували різні методи обфускації, включаючи семантичну абстракцію китайською мовою та власну логіку дешифрування, призначену для приховування поведінки шкідливого ПЗ.

Пом’якшення

Користувачі повинні бути особливо обережними з LNK-файлами, стисненими архівами та документами, отриманими з ненадійних або несподіваних джерел. Організації мають переглянути записи автозавантаження, заплановані завдання та розташування реєстру для виявлення несанкціонованих змін. Моніторинг підозрілої активності PowerShell і незвичайних вихідних мережевих з’єднань також є важливим для виявлення ранніх стадій компрометації.

Відповідь

Якщо ця активність виявлена, реагувальники повинні виконати судово-експертний аналіз %LOCALAPPDATA% and %APPDATA% каталогів, щоб виявити вкинуті скрипти та пов’язані артефакти. Планувальник завдань слід перевірити на наявність підозрілих завдань, таких як CheckRealtekAudioVersion or ResetRealtekAudioSettings64. Уражені системи повинні бути негайно ізольовані, щоб запобігти подальшому зв’язку з виявленими шкідливими доменами та IP-адресами.

"graph TB %% Class Definitions Section classDef action fill:#99ccff classDef tool fill:#cccccc classDef malware fill:#ff9999 classDef process fill:#ccffcc classDef technique fill:#ffff99 %% Node Definitions %% Initial Stage action_user_exec["Дія – T1204.002 Виконання користувача: шкідливий файл Користувач відкриває стиснутий архів, що містить шкідливе .lnk ярлик, замасковане як гайд по ШІ."] class action_user_exec action action_obfuscation["Дія – T1027 Обфусковані файли або інформація .lnk файл використовує cmd.exe для виконання обфускованої послідовності команд для вилучення даних з прихованого PDF-файлу під назвою 3th.pdf."] class action_obfuscation technique %% Staged Execution action_ps_decryption["Дія – T1027.013 Обфусковані файли або інформація: Зашифрований/Закодований Файл Скрипт PowerShell виконує розшифрування AES-CBC та декодування Base64 для виявлення корисного навантаження збереженого як Cache_{GUID}.ps1."] class action_ps_decryption technique %% Persistence and Evasion action_persistence["Дія – T1547 Стійкість Скрипт створює заплановане завдання під назвою CheckRealtekAudioVersion для забезпечення виживання."] class action_persistence technique action_exclusion["Дія – T1679 Селективне Виняток Шкідливе ПЗ використовує Add-MpPreference для додавання диска C і powershell.exe у список винятків Microsoft Defender."] class action_exclusion technique %% Proxying and Scripting action_cmd_shell["Дія – T1059.003 Інтерпретатор команд і скриптів: Windows Command Shell Використовує Windows Command Shell для виконання."] class action_cmd_shell technique action_syncappv["Дія – T1216.002 Виконання системного скрипта-проксі: SyncAppvPublishingServer Використовує файл VBS ResetRealtekAudioSettings64.vbs для дії як посередник для запуску batch-файлів."] class action_syncappv technique %% AutoHotkey Stage tool_autohotkey["Tool: AutoHotkey.exe Обробник використовується для виконання шкідливих .ahk скриптів для складної логіки."] class tool_autohotkey tool action_ahk_interpreter["Дія – T1059.010 Інтерпретатор команд і скриптів: AutoHotKey & AutoIT .ahk скрипти керують ін’єкцією процесу та оркестрацією."] class action_ahk_interpreter technique %% Injection and Payload action_hollowing["Дія – T1055.012 Ін’єкція процесу: Заглиблення процесу Реконструює корисне навантаження PE з текстових даних та ін’єкціонує його в легітимні .NET процеси."] class action_hollowing technique process_dotnet["Процес: .NET Процес Цільовий легітимний процес, такий як AddInProcess32.exe для ін’єкції."] class process_dotnet process malware_asyncrat["Шкідливе ПЗ: AsyncRAT Модульний троян віддаленого доступу .NET розгорнутий як кінцеве корисне навантаження."] class malware_asyncrat malware action_exfiltration["Дія – T1048 Експільтрація через альтернативний протокол Експільтрує системну інформацію та проводить моніторинг через домени C2, такі як shampobiskworld.nl."] class action_exfiltration technique %% Connections %% Initial chain action_user_exec –>|веде до| action_obfuscation action_obfuscation –>|викликає| action_ps_decryption %% Persistence and Evasion chain action_ps_decryption –>|встановлює| action_persistence action_ps_decryption –>|виконує| action_exclusion %% Scripting and Proxying chain action_ps_decryption –>|використовує| action_cmd_shell action_cmd_shell –>|використовує| action_syncappv %% AutoHotkey chain action_syncappv –>|виконує| tool_autohotkey tool_autohotkey –>|використовує| action_ahk_interpreter %% Injection chain action_ahk_interpreter –>|виконує| action_hollowing action_hollowing –>|ін’єкціонує у| process_dotnet %% Final Payload chain process_dotnet –>|гостить| malware_asyncrat malware_asyncrat –>|виконує| action_exfiltration "

Потік атаки

Наратив та команди атаки: Супротивник отримав початковий доступ і готується встановити постійний командно-контрольний (C2) канал, використовуючи AsyncRAT. Щоб уникнути виявлення за допомогою мережевих сигнатур, нападник використовує RijndaelManaged Клас .NET для шифрування трафіку. Нападник виконує однострочний команду PowerShell, яка створює шифрувальник, з метою обернути C2 сигналізацію в зашифрованому корисному навантаженні. Ця команда розрахована на виклик встановленого правила для виявлення на основі рядків.

Реєстраційний тестовий скрипт:

# Симуляція ініціалізації шифрування у стилі AsyncRAT у PowerShell
# Ця команда спроектована для впізнавання рядка 'RijndaelManaged.CreateEncryptor' на командному рядку.
$code = "[System.Security.Cryptography.RijndaelManaged]::CreateEncryptor()"
powershell.exe -NoProfile -ExecutionPolicy Bypass -Command "$encryptor = [System.Security.Cryptography.RijndaelManaged]::CreateEncryptor(); Write-Output 'Encryption engine initialized.'"

Команди очищення:

# Постійних змін, зроблених скриптом симуляції, не було; однак, 
# очищується історія PowerShell для видалення слідів команди.
Clear-History
Remove-Item (Get-PSReadlineOption).HistorySavePath -ErrorAction SilentlyContinue

Приєднуйтесь до платформи Detection as Code від SOC Prime щоб покращити видимість загроз, найбільш актуальних для вашого бізнесу. Щоб допомогти вам розпочати та отримати негайну цінність, забронюйте зустріч зараз з експертами SOC Prime.

Приєднатися безкоштовно