Šta se desilo?

Point Wild je 10. septembra 2026. opisao višestepeni lanac infekcije u kojoj napadači koriste legitimni AutoIt alat za automatizaciju kako bi pokrenuli AsyncRAT, trojanca za udaljeni pristup, unutar legitimnog Windows procesa.

Napad počinje batch datotekom nazvanom „Right-click to open Invoice Details.bat“, koja se predstavlja kao sadržaj povezan sa fakturom. Nakon pokretanja, datoteka otvara skrivenu PowerShell sesiju, rekonstruiše dodatni zlonamerni sadržaj i smešta potrebne komponente u privremeni direktorijum korisnika.

U završnoj fazi AsyncRAT se ubacuje u memoriju procesa charmap.exe, legitimne Microsoft Windows komponente sa digitalnim potpisom. Na taj način zlonamerni kod radi unutar pouzdanog sistemskog procesa, što može otežati detekciju zasnovanu samo na nazivu ili digitalnom potpisu izvršne datoteke.

Koga pogađa?

Napad može pogoditi Windows korisnike koji pokrenu zlonamernu batch datoteku, posebno ako je predstavljena kao faktura, dokument ili drugi poslovni sadržaj.

Poseban rizik postoji u poslovnim okruženjima u kojima zaposleni često primaju fakture i dokumentaciju putem emaila, jer naziv i način predstavljanja fajla pokušavaju da navedu korisnika da ga pokrene bez dodatne provere.

Nakon uspešne infekcije, AsyncRAT napadaču može omogućiti udaljeno upravljanje računarom, prikupljanje informacija o sistemu, izvršavanje komandi i snimanje sadržaja ekrana.

Kako se zaštititi?

  • Ne pokrećite .bat, .cmd, .ps1 i slične skriptne datoteke koje stižu iz neočekivanih ili nepouzdanih izvora.
  • Budite posebno oprezni sa prilozima koji se predstavljaju kao fakture ili poslovna dokumenta, a zapravo su izvršne ili skriptne datoteke.
  • U poslovnom okruženju ograničite izvršavanje skripti i programa iz privremenih i drugih korisničkih direktorijuma gde god je to moguće.
  • Koristite EDR zaštitu koja prati ponašanje procesa, PowerShell aktivnosti i pokušaje ubacivanja koda u druge procese.
  • Pratite neuobičajeno pokretanje charmap.exe procesa, posebno ako ostvaruje mrežnu komunikaciju ili sadrži neočekivani kod u memoriji.
  • Razmotrite primenu Microsoft Attack Surface Reduction pravila za blokiranje sumnjivih skripti i izvršnih sadržaja koji potiču iz email poruka.
  • Dozvolite korišćenje AutoIt-a samo tamo gde postoji poslovna potreba i pratite njegovo pokretanje iz privremenih direktorijuma.

Tehnički detalji

Analizirani napad sastoji se od pet faza. Početna batch datoteka pokreće PowerShell sa skrivenim prozorom i bez učitavanja korisničkog PowerShell profila. Payload se zatim rekonstruiše iz više Base64 fragmenata, uklanjaju se ubačeni nasumični karakteri i sadržaj se dodatno dekodira XOR operacijom.

U direktorijumu unutar %LOCALAPPDATA%\Temp postavljaju se tri ključne komponente: preimenovani legitimni AutoIt interpreter, AutoIt loader skripta nazvana kojuyn.ini i šifrovani payload bez ekstenzije.

Napadači uspostavljaju i mehanizam za ponovno pokretanje malvera prilikom prijavljivanja korisnika tako što smeštaju batch datoteku u Windows Startup direktorijum.

AutoIt loader dešifruje zlonamerni sadržaj u memoriji, pokreće legitimni proces charmap.exe iz Windows SysWOW64 direktorijuma i zatim u njega ubacuje payload koristeći Windows API funkcije OpenProcess, VirtualAllocEx, WriteProcessMemory i CreateRemoteThread.

Konačni payload identifikovan je kao AsyncRAT, .NET trojanac za udaljeni pristup. Analiza je pokazala mogućnosti prikupljanja informacija o sistemu, izvršavanja komandi, snimanja ekrana i komunikacije sa komandno-kontrolnom infrastrukturom.

Zašto je važno?

Lažna faktura u ovom uzorku služi kao mamac za pokretanje skripte. Izveštaj ne navodi broj zaraženih uređaja niti potvrđuje žrtve u Srbiji i regionu. Ovaj napad pokazuje da više nije dovoljno proveravati samo naziv procesa ili da li je izvršna datoteka digitalno potpisana.

U ovom lancu napadači kombinuju legitimne alate i sistemske procese sa tehnikama izvršavanja malvera direktno u memoriji kako bi njihova aktivnost izgledala kao regularno ponašanje Windows sistema.

Preporuka Sajber Radara

Ne pokrećite batch i druge skriptne datoteke iz nepouzdanih izvora, čak i kada se predstavljaju kao fakture ili poslovni dokumenti. Organizacije bi trebalo da koriste EDR zaštitu i prate neuobičajene PowerShell, AutoIt i charmap.exe aktivnosti, posebno izvršavanje iz privremenih korisničkih direktorijuma i pokušaje ubacivanja koda u druge procese.