RAT на базі Rebex з Telegram, що націлений на В’єтнам

SOC Prime Team

Стежити

RAT на базі Rebex з Telegram, що націлений на В’єтнам

Detection stack

AIDR
Alert
ETL
Query

Звіт про загрози
Потік атаки
Виявлення
Симуляції

Резюме

Зловмисний CHM файл, доставлений у ZIP архіві, встановлює небезпечне середовище виконання Python разом із C++ DLL, яка розшифровує вбудоване навантаження. Це навантаження встановлює стійкість через захоплення оболонки Winlogon, заплановане завдання та зловживання MSBuild, а потім запускає Telegram RAT на базі .NET. Шкідливе програмне забезпечення взаємодіє з ботом Telegram, використовуючи заздалегідь закодований токен, і підтримує виконання команд, заміну токенів та завантаження файлів. Кампанія була сфотографована, націлена на жертв у В’єтнамі, і в даний час не має виявлень на VirusTotal.

Розслідування

Аналіз файлу CHM виявив скрипт, який декомпілював архів, очистив PYTHONHOME, і запустив перейменований виконуваний файл Python із скомпільованим байткод файлом. Байткод потім завантажив DLL, що розшифровувала зашифрований DOCX блоб, вилучила додаткові компоненти і записала їх у тимчасові місця. DLL створив записи реєстру, запланував завдання під назвою Doubt, і виконав MSBuild XML файл для завантаження другої DLL, яка зрештою розгорнула Telegram RAT на базі .NET. RAT покладається на заздалегідь закодовані облікові дані бота Telegram для командного управління.

Захист

Оборонці повинні блокувати виконання CHM файлів з ненадійних джерел і обмежувати використання hh.exe, msbuild.exe, та PowerShell для непідписаних або підозрілих скриптів. Моніторинг повинен бути зосереджений на модифікаціях реєстру Winlogon Shell незвичайні створення запланованих завдань та нові скинуті DLL у тимчасових каталогах. Організації також повинні інспектувати трафік API Telegram через проксі-контроль і забезпечувати доступ з мінімальними привілеями для кінцевих користувачів.

Реакція

Команди безпеки повинні ідентифікувати та ізолювати уражені хости, зібрати летючу інформацію та вилучити шкідливі DLL та скрипти для аналізу. Значення Winlogon Shell та заплановане завдання повинні бути видалені, скинуті файли – видалені, а змінені параметри реєстру повернені до відомого гарного стану. Будь-які викриті токени бота Telegram слід негайно замінити, і оборонці повинні продовжувати моніторинг на додаткову активність командного контролю. Рекомендується повне судово-експертне розслідування, щоб визначити, чи були дані викрадені.

graph TB %% Class Definitions classDef technique fill:#99ccff classDef tool fill:#ffcc99 classDef process fill:#ffeb99 classDef operator fill:#ff9900 %% Nodes initial_access[“Техніка – T1204.001 Виконання користувачем: шкідливе посилання Опис: Жертва переходить за шкідливим посиланням.”] class initial_access technique delivery_html_smuggling[“Техніка – T1027.006 HTML-стегування Опис: JavaScript прихований у HTML сторінці.”] class delivery_html_smuggling technique delivery_compile_after[“Техніка – T1027.004 Компіляція після доставки Опис: Пейлоад збирається після доставки.”] class delivery_compile_after technique delivery_embedded_payloads[“Техніка – T1027.009 Вбудовані пейлоади Опис: Шкідливий код прихований у файлах.”] class delivery_embedded_payloads technique delivery_deobfuscate[“Техніка – T1140 Декодування/розшифрування Опис: Base64 декодується в браузері.”] class delivery_deobfuscate technique persistence_run_key[“Техніка – T1127.002 Proxy-виконання через довірені інструменти”] class persistence_run_key technique persistence_appcert[“Техніка – T1546.009 DLL AppCert”] class persistence_appcert technique recon_hardware[“Техніка – Збір інформації про обладнання”] class recon_hardware technique recon_firmware[“Техніка – Збір інформації про прошивку”] class recon_firmware technique c2_web_protocols[“Техніка – Web-протоколи C2”] class c2_web_protocols technique c2_bidirectional[“Техніка – Двосторонній зв’язок”] class c2_bidirectional technique c2_oneway[“Техніка – Односторонній зв’язок”] class c2_oneway technique c2_encrypted[“Техніка – Зашифрований канал”] class c2_encrypted technique c2_data_encoding[“Техніка – Кодування даних”] class c2_data_encoding technique c2_config_repo[“Техніка – Репозиторій конфігурації”] class c2_config_repo technique asset_drain[“Техніка – Підтвердження токенів”] class asset_drain technique %% Tools / Processes tool_malicious_link[“Інструмент: Фішингове посилання”] class tool_malicious_link tool tool_js_payload[“Інструмент: Обфускований JavaScript”] class tool_js_payload tool process_installer[“Процес: Windows інсталятор”] class process_installer process tool_node_exe[“Інструмент: node.exe”] class tool_node_exe tool tool_web3modal[“Інструмент: Web3Modal UI”] class tool_web3modal tool %% Connections unchanged initial_access –>|leads_to| delivery_html_smuggling delivery_html_smuggling –>|uses| tool_malicious_link delivery_html_smuggling –>|uses| tool_js_payload delivery_html_smuggling –>|enables| delivery_compile_after delivery_compile_after –>|enables| delivery_embedded_payloads delivery_embedded_payloads –>|triggers| delivery_deobfuscate delivery_deobfuscate –>|creates| process_installer process_installer –>|drops| persistence_run_key process_installer –>|may_use| persistence_appcert persistence_run_key –>|executes| tool_node_exe persistence_appcert –>|loads| tool_node_exe tool_node_exe –>|collects| recon_hardware tool_node_exe –>|collects| recon_firmware recon_hardware –>|feeds| c2_web_protocols recon_firmware –>|feeds| c2_web_protocols c2_web_protocols –>|supports| c2_bidirectional c2_web_protocols –>|supports| c2_oneway c2_bidirectional –>|uses| c2_encrypted c2_oneway –>|uses| c2_encrypted c2_encrypted –>|encodes| c2_data_encoding c2_data_encoding –>|stores_config_in| c2_config_repo c2_config_repo –>|provides| asset_drain asset_drain –>|uses| tool_web3modal

Потік атаки

Наратива та команди атаки
1. Доставка: Зловмисник доставляє шкідливий .chm файл (названий UpdateHelp.chm) потерпілому.
2. Декомпіляція: Жертва (або зловмисний скрипт) запускає hh.exe з прапором -decompile щоб витягнути вбудоване навантаження:
```
hh.exe -decompile C:TempPayloads C:UsersPublicUpdateHelp.chm
```
  Це генерує подію створення процесу яку спостерігає правило (hh.exe + -decompile).
3. Виконання навантаження – перейменований інтерпретатор: Всередині витягнутих файлів є перейменований інтерпретатор Python (_pJifgWSwPi.exe). Зловмисник запускає його через cmd.exe щоб зберегти низький профіль:
```
cmd.exe /c "C:TempPayloads_pJifgWSwPi.exe -c "import os; os.system('whoami')""
```
  Це задовольняє умову правила. cmd.exe Підписаний проксі – Msbuild:
4. Навантаження Python записує шкідливий файл, а потім викликає файл, а потім викликає для його виконання, досягаючи стійкості або подальшого виконання коду: msbuild.exe Сценарій тесту регресії
```
Сценарій тесту регресії
```
#============================================================= # Симуляція атаки на основі CHM – активує Sigma Rule #============================================================= # Змінні $chmPath = “C:UsersPublicUpdateHelp.chm” $outFolder = “C:TempPayloads” $renamedPy = “_pJifgWSwPi.exe” $projFile = “malicious.proj” # 1. Переконайтеся, що існує вихідна папка New-Item -ItemType Directory -Force -Path $outFolder | Out-Null # 2. Симуляція декомпіляції файлу CHM Write-Host “[*] Декомпіляція CHM…” hh.exe -decompile $outFolder $chmPath # 3. Розмістіть копію python.exe (або будь-якого безпечного exe) як перейменований інтерпретатор Copy-Item -Path “$env:SystemRootSystem32WindowsPowerShellv1.0powershell.exe” ` -Destination “$outFolder$renamedPy” -Force # 4. Виконайте перейменований інтерпретатор через cmd.exe Write-Host “[*] Запуск перейменованого інтерпретатора через cmd.exe…” cmd.exe /c “`”$outFolder$renamedPy`” -c `”Write-Host ‘Симульоване навантаження виконано’`”” # 5. Створіть тривіальний проект msbuild, який виводить повідомлення $projContent = @” <Проект ToolsVersion=’4.0′ xmlns=’http://schemas.microsoft.com/developer/msbuild/2003′> <Цільове завдання Name=’Build’> <Повідомлення Текст=’Msbuild виконано шкідливий проект’ Важливість=’Висока’/> </Цільове завдання> </Проект> “@ Set-Content -Path “$outFolder$projFile” -Value $projContent -Encoding ASCII # 6. Запустіть msbuild.exe на шкідливому проекті Write-Host “[*] Виконання msbuild.exe…” msbuild.exe “$outFolder$projFile” /target:Build Write-Host “[+] Симуляція завершена.”
```
Команди очищення
```

Cleanup Commands

# Зупиніть будь-які процеси, що залишились (якщо все ще працюють)
Get-Process -Name "_pJifgWSwPi","hh","msbuild","cmd" -ErrorAction SilentlyContinue |
  Stop-Process -Force

# Видаліть генеровані файли та папки
Remove-Item -Recurse -Force -Path "C:TempPayloads"
# За бажанням видаліть файл CHM, якщо він був створений для тесту
Remove-Item -Force -Path "C:UsersPublicUpdateHelp.chm" -ErrorAction SilentlyContinue

Write-Host "[+] Очищення завершено."

Приєднуйтесь до платформи Detection as Code від SOC Prime щоб покращити видимість загроз, найбільш актуальних для вашого бізнесу. Щоб допомогти вам розпочати та отримати негайну цінність, забронюйте зустріч зараз з експертами SOC Prime.

Приєднатися безкоштовно