Fałszywe e-maile z zamówieniami zakupu używane w atakach phishingowych z użyciem złośliwego oprogramowania

Podsumowanie

Aktualnie zagrożeni aktorzy rozpowszechniają e-maile phishingowe z złośliwymi załącznikami DOCX podszywającymi się pod zamówienia zakupu. Dokumenty wykorzystują element altChunk do załadowania złośliwego pliku RTF, który wykorzystuje lukę w Editorze Równań do uruchomienia skryptu VB. Ostatecznym ładunkiem jest SnakeKeylogger, który został zaprojektowany do kradzieży danych uwierzytelniających, rejestrowania naciśnięć klawiszy i zbierania innych poufnych informacji.

Badanie

AhnLab Security Intelligence Center (ASEC) przeanalizowało łańcuch infekcji zaczynający się od złośliwego załącznika DOCX. Badacze zidentyfikowali wieloetapową sekwencję wykonawczą obejmującą plik RTF, skrypt VB, PowerShell i loader oparty na Pythonie. Łańcuch ostatecznie wdraża SnakeKeyloggera, który polega na określonych technikach deszyfrowania w celu wykonania osadzonego shellcodu.

Łagodzenie

Użytkownicy powinni weryfikować domeny e-mail nadawców i zachować ostrożność przy otrzymywaniu nieoczekiwanych załączników lub linków. Organizacje powinny skonfigurować filtrowanie e-maili w celu wykrywania podejrzanych plików .docx zawierających elementy altChunk i monitorować nieautoryzowane uruchomienie pythonw.exe lub cscript.exe. Oprogramowanie Microsoft Office i inne powinno być również regularnie aktualizowane w związku z znanymi lukami.

Reakcja

W przypadku wykrycia złośliwej aktywności, należy odizolować zainfekowane systemy, aby zatrzymać dalsze wycieki danych. Przeprowadź analizę sądową, aby określić zakres kompromitacji i zidentyfikować utrzymanie się poprzez klucze uruchamiania w rejestrze. Zresetuj dane uwierzytelniające dla kont, z których korzystano na zainfekowanym hoście, w szczególności tych dotyczących przeglądarki, e-maila i usług finansowych.

Wykonanie symulacji

• Narracja ataku i komendy: Adwersarz wysyła e-mail typu spear-phishing zawierający fałszywe „Zamówienie zakupu” w formacie DOCX. Kiedy ofiara otwiera dokument, makro lub exploit uruchamia wydobycie złośliwego ładunku o nazwie 832734.Vbs do tymczasowego katalogu. Następnie atakujący wykonuje ten skrypt za pomocą wscript.exe. Ta akcja ma na celu ustanowienie początkowego przyczółka i rozpoczęcie zbierania danych uwierzytelniających przy użyciu złośliwego oprogramowania SnakeKeylogger. Reguła wykrywania powinna wykryć wykonanie, ponieważ nazwa pliku 832734.Vbs jest obecna w linii polecenia tworzenia procesu.

• Skrypt testu regresji:

  # Skrypt symulacyjny replikujący wykonanie na podstawie nazwy pliku SnakeKeylogger
  $tempPath = $env:TEMP
  $maliciousFile = Join-Path $tempPath "832734.Vbs"
  
  # Utwórz tymczasowy plik VBS, aby zasymulować ładunek
  "WScript.Echo 'Symulacja ładunku SnakeKeylogger'" | Out-File -FilePath $maliciousFile -Encoding ascii
  
  # Uruchom plik za pomocą wscript.exe, aby wywołać regułę wykrywania
  Start-Process "wscript.exe" -ArgumentList "`"$maliciousFile`""
  
  Write-Host "Symulacja zakończona. Sprawdź dzienniki bezpieczeństwa pod kątem tworzenia procesu z udziałem 832734.Vbs"

• Polecenia czyszczenia:

  # Czyszczenie: Usuń symulowany złośliwy plik
  $tempPath = $env:TEMP
  $maliciousFile = Join-Path $tempPath "832734.Vbs"
  if (Test-Path $maliciousFile) {
      Remove-Item $maliciousFile -Force
      Write-Host "Czyszczenie zakończone sukcesem: usunięto $maliciousFile."
  }