Фальшиві електронні листи з замовленнями на покупку використовуються для фішингових атак з шкідливим ПЗ

Резюме

Зловмисники поширюють фішингові електронні листи з шкідливими вкладеннями DOCX, замаскованими під замовлення на купівлю. Документи використовують елемент altChunk для завантаження шкідливого файлу RTF, що експлуатує вразливість Equation Editor для виконання VBScript. Кінцевим корисним навантаженням є інфостілер SnakeKeylogger, призначений для викрадення облікових даних, перехоплення натискання клавіш та збору іншої конфіденційної інформації.

Розслідування

Центр безпеки АhnLab (ASEC) проаналізував ланцюг інфікування, починаючи з шкідливого вкладення DOCX. Дослідники визначили багатоступінчасту послідовність виконання, що включає файл RTF, VBScript, PowerShell й завантажувач на основі Python. Цей ланцюг зрештою розгортає SnakeKeylogger, який спирається на специфічні техніки дешифрування для виконання вбудованого shellcode.

Пом’якшення

Користувачі повинні перевіряти домени електронної пошти відправника та бути обережними, отримуючи несподівані вкладення або посилання. Організації повинні налаштувати фільтрацію електронної пошти для виявлення підозрілих .docx файлів, що містять елементи altChunk, і моніторити несанкціоноване виконання pythonw.exe або cscript.exe. Microsoft Office та інше програмне забезпечення також має бути оновлене проти відомих вразливостей.

Відповідь

Коли виявлено зловмисну активність, ізолюйте уражені системи, щоб зупинити подальше розкрадання даних. Проведіть форензичний аналіз, щоб визначити обсяг порушення та виявити сталість за допомогою ключів реєстру Run. Скиньте облікові дані для акаунтів, до яких було доступ після компрометації, особливо облікові дані браузера, електронної пошти та фінансових послуг.

Виконання моделювання

• Розповідь про атаку та команди: Супротивник надсилає фішинговий електронний лист із підробленим “Замовленням на купівлю” у форматі DOCX. Коли жертва відкриває документ, макрос або експлойт ініціює вилучення шкідливого навантаження під назвою 832734.Vbs у тимчасовий каталог. Потім атакуючий виконує цей скрипт за допомогою wscript.exe. Ця дія покликана встановити початковий плацдарм і почати збір облікових даних із використанням інфостілера SnakeKeylogger. Очікується, що правило виявлення уловить це виконання через те, що ім’я файлу 832734.Vbs присутнє у командному рядку створення процесу.

• Скріпт регресійного тестування:

  # Скріпт моделювання для відтворення виконання на базі імені файлу SnakeKeylogger
  $tempPath = $env:TEMP
  $maliciousFile = Join-Path $tempPath "832734.Vbs"
  
  # Створити підроблений VBS файл для моделювання шкідливого навантаження
  "WScript.Echo 'Моделювання шкідливого навантаження SnakeKeylogger'" | Out-File -FilePath $maliciousFile -Encoding ascii
  
  # Виконати файл через wscript.exe, щоб ініціювати правило виявлення
  Start-Process "wscript.exe" -ArgumentList "`"$maliciousFile`""
  
  Write-Host "Моделювання завершено. Перевірте журнали безпеки на наявність створення процесу із залученням 832734.Vbs"

• Команди очищення:

  # Очищення: Видалити змодельований шкідливий файл
  $tempPath = $env:TEMP
  $maliciousFile = Join-Path $tempPath "832734.Vbs"
  if (Test-Path $maliciousFile) {
      Remove-Item $maliciousFile -Force
      Write-Host "Очищення успішне: $maliciousFile видалено."
  }