RSVP to Disaster: How One Click Installs a RAT

Резюме

Кіберзлочинці використовують фішингові електронні листи, замасковані під запрошення на соціальні заходи для розповсюдження шкідливого програмного забезпечення. Жертви перенаправляються через підроблену кнопку RSVP на сторінку перевірки CAPTCHA, а потім на сайт зі шкідливим завантаженням. Напад в кінцевому підсумку встановлює Trojan для віддаленого доступу (RAT), надаючи нападникам широкий контроль над скомпрометованим пристроєм.

Розслідування

Центр захисту від фішингу Cofense виявив кампанію, що ґрунтується на розпливчастих, викликаючих цікавість методах соціальної інженерії. Дослідники викрили багатоступінчастий потік зараження, що використовує сторінку CAPTCHA на ново зареєстрованому, незабрендованому домені для створення фальшивого відчуття легітимності. Кінцевий корисний вантаж – це легітимна програма для віддаленої підтримки, зловживана для зловмисного доступу.

Мітигація

Організації повинні забезпечувати навчання співробітників, спрямоване на розпізнавання методів соціальної інженерії, що включають розпливчасті, термінові або такі, що викликають цікавість приманки в електронній пошті. Технічні засоби захисту повинні включати шлюзи безпеки електронної пошти, які блокують підозрілі URL-адреси, і моніторинг несанкціонованих інструментів віддаленого доступу. Захист кінцевих точок також повинен позначати легітимне програмне забезпечення, коли воно виконується в підозрілих або неочікуваних контекстах.

Реакція

При виявленні шкідливої активності, негайно ізолюйте уражений хост від мережі, щоб запобігти подальшому несанкціонованому доступу. Проведіть всебічне форензичне розслідування, щоб визначити масштаб компрометації та виявити потенційне витікання даних. Скиньте облікові дані користувачів, які зазнали впливу, та перегляньте журнали системи на предмет неавторизованих з’єднань, механізмів зберігання стійкості або іншої підозрілої активності.

Виконання симуляції

• Опис атаки та команди: Противник ініціює атаку фішингом з використанням електронного листа з посиланням на підроблене “Запрошення на захід”. Після натискання, користувачеві пропонується завантажити файл. У цій симуляції ми відтворюємо останній етап, де користувач виконує завантажений ScreenConnect.ClientSetup.exe. Мета полягає в тому, щоб забезпечити точку входу для віддаленого доступу. Виконання цього конкретного імені файлу спровокує попередження про високу серйозність.

• Сценарій регресійного тестування:

  # Сценарій симуляції: Тригер виявлення ScreenConnect
  # Примітка: Ми створюємо файл-муляж з цільовим ім'ям, щоб імітувати виконання
  # без фактичної установки потенційно шкідливого програмного забезпечення.
  
  $targetName = "ScreenConnect.ClientSetup.exe"
  $tempPath = Join-Path $env:TEMP $targetName
  
  Write-Host "[+] Створюємо файл-муляж: $tempPath"
  New-Item -Path $tempPath -ItemType File -Force
  
  Write-Host "[+] Імітація виконання $targetName..."
  # Використання Start-Process для генерації події створення процесу (ID події 1 / 4688)
  Start-Process -FilePath $tempPath -WindowStyle Hidden -ErrorAction SilentlyContinue
  
  Write-Host "[+] Команда симуляції завершена. Перевірте SIEM на наявність попередження."

• Команди очищення:

  # Скрипт очищення
  $targetName = "ScreenConnect.ClientSetup.exe"
  $tempPath = Join-Path $env:TEMP $targetName
  
  if (Test-Path $tempPath) {
      Remove-Item -Path $tempPath -Force
      Write-Host "[+] Очищено файл-муляж: $tempPath"
  } else {
      Write-Host "[-] Файл-муляж не знайдено. Нічого очищати."
  }