BotHelper RAT доставляє зашифровані корисні навантаження для спостереження за екраном в реальному часі

Резюме

Ланцюжок багатоступеневої інфекції Windows використовує нативний імплант для отримання зашифрованого навантаження, що в кінцевому підсумку розгортає раніше недокументований .NET інструмент віддаленого доступу під назвою BotHelper RAT. RAT підтримує живе спостереження за екраном, моніторинг буферу обміну, виконання команд оболонки та додаткову доставку плагінів. Атака розроблена для приховування через дешифрування в пам’яті та підробку під легітимні процеси Microsoft Edge.

Розслідування

Point Wild проаналізувала ланцюжок інфекції та виявила нативний x64 імплант, який профілює хост перед завантаженням зашифрованого файлу з вказаної URL-адреси. Розслідування показало, що імплант вимикає перевірку сертифікатів TLS і дешифрує навантаження наступного етапу повністю в пам’яті, щоб зменшити виявлення на диску. Потім BotHelper RAT встановлює стійкість через заплановані завдання та запечатує інтерфейс сканування антивірусів (AMSI).

Пом’якшення

Пом’якшення має пріоритезувати блокування початкового імпланту та пов’язаної інфраструктури C2. Засоби безпеки повинні виявляти несанкціоноване створення запланованих завдань та підозрілу маскування процесів, включаючи випадки msedge_proxy.exe що запускається з директорії Temp. Організації також мають стежити за спробами запечатання AMSI та незвичними вихідними підключеннями TLS до раніше невідомих або ненадійних доменів.

Відповідь

Коли діяльність BotHelper RAT виявлена, ізолюйте уражений кінцевий пункт, щоб зупинити подальше виконання команд та ексфільтрацію даних. Видаліть шкідливі заплановані завдання та скинуті файли з тимчасового каталогу користувача. Проведіть судову експертизу пам’яті, щоб ідентифікувати додаткові компоненти в пам’яті та дослідити докази викрадення буферу обміну, живого моніторингу екрану або захоплених скріншотів.

Виконання симуляції

• Опис атаки та команди: Зловмисник отримав початковий доступ і тепер прагне залишатися в системі. Щоб уникнути виявлення засобами безпеки, які шукають “завжди активні” маяки, вони вирішують використовувати утиліту schtasks.exe для планування шкідливого навантаження. Дотримуючись шаблону BotHelper RAT, вони налаштовують завдання на спрацювання кожні 30 хвилин. Це дозволяє шкідливому програмному забезпеченню “спати” більшу частину часу, зменшуючи сліди в мережевому трафіку та моніторингу процесів, одночасно забезпечуючи часте відновлення з’єднання з сервером C2.

• Скрипт тесту регресії:

  # Скрипт для моделювання механізму стійкості BotHelper RAT
  $taskName = "BotHelperUpdater"
  $payload = "C:WindowsSystem32calc.exe" # Використовується calc.exe як безпечний проксі для завантаження RAT
  
  Write-Host "[+] Імітація стійкості BotHelper RAT..."
  # Ця команда призначена для співпадання з логікою виявлення: /create, /sc, та MINUTE=30
  schtasks /create /tn "$taskName" /tr "$payload" /sc minute /mo 30 /f
  
  if ($LASTEXITCODE -eq 0) {
      Write-Host "[SUCCESS] Завдання створено. Перевірте SIEM для виявлення."
  } else {
      Write-Host "[FAILURE] Не вдалося створити завдання."
  }

• Команди очищення:

  # Видалити змодельоване завдання стійкості
  schtasks /delete /tn "BotHelperUpdater" /f
  Write-Host "[+] Очищення завершено. Змодельоване завдання видалено."