Napadači zloupotrebljavaju VLC i VMware komponente za prikriveno učitavanje malvera
WatchGuard je analizirao tri malver kampanje usmerene pre svega na korisnike u Brazilu i Portugaliji, u kojima napadači kombinuju fišing, VBScript i DLL side-loading sa legitimnim VLC, VMware i Microsoft komponentama.
Šta se desilo?
Istraživači kompanije WatchGuard analizirali su tri odvojene malver kampanje koje koriste fišing, obfuskovane VBScript fajlove i legitimne Windows i third-party programe kako bi prikrile izvršavanje zlonamernog koda.
U kampanjama su zloupotrebljeni VLC Media Player, Microsoft .NET Framework komponenta i legitimni VMware izvršni fajl. Napadači koriste DLL side-loading, tehniku kod koje legitiman program prilikom pokretanja učitava zlonamerni DLL postavljen pored njega.
Važno je da VLC i VMware nisu hakovani niti je potvrđena ranjivost u ovim proizvodima. Napadači koriste njihovu legitimnu funkcionalnost kao deo lanca infekcije nakon što korisnik prethodno pokrene zlonamerni sadržaj.
Koga pogađa?
WatchGuard je identifikovao kampanje usmerene prvenstveno na korisnike u Brazilu i Portugaliji.
Overlord RAT kampanja koristi lažne poruke koje imitiraju brazilske notarske službe, dok su Lampion i treća analizirana kampanja uglavnom povezane sa portugalskim korisnicima i finansijskim ili administrativnim temama.
Tehnika DLL side-loading nije geografski ograničena i može se koristiti protiv bilo kog Windows sistema ako korisnik pokrene zlonamerni paket koji sadrži legitimnu izvršnu datoteku i posebno pripremljeni DLL.
Kako se zaštititi?
- Ne otvarajte fajlove i linkove iz neočekivanih pravnih, finansijskih ili administrativnih email poruka bez dodatne provere pošiljaoca.
- Ne pokrećite VBS, ISO, MSI i druge izvršne sadržaje preuzete sa neproverenih stranica.
- U poslovnim okruženjima pratite pokretanje legitimnih programa iz neuobičajenih lokacija kao što su Temp, AppData i slični korisnički folderi.
- Pratite izmene Microsoft Defender exclusions i neočekivano kreiranje scheduled taskova.
- Koristite EDR ili slične alate koji analiziraju kompletno ponašanje procesa, a ne samo reputaciju glavnog izvršnog fajla.
- Ograničite izvršavanje skripti i programa iz korisnički upisivih direktorijuma gde je to moguće.
Tehnički detalji
WatchGuard Red Cell je analizirao tri različita slučaja: Overlord RAT kampanju, Lampion bankarski trojanac i treću kampanju koja koristi zlonamerni newdev.dll.
U Overlord RAT kampanji fišing poruke imitiraju brazilske notarske službe i vode do zlonamernih VBScript fajlova. Skripte zatim preuzimaju dodatne EXE ili MSI komponente.
Dva analizirana MSI paketa koriste DLL side-loading. Jedan kombinuje zlonamerni DLL sa legitimnom Microsoft .NET Framework komponentom ngentask.exe, dok drugi koristi legitimni vlc.exe. Fajlovi su smešteni u korisnički Temp folder unutar direktorijuma nazvanog Adobe.
Overlord lanac koristi i PowerShell, curl, Microsoft Defender exclusions, scheduled taskove i fajlove koji imitiraju Windows Error Reporting. Istraživači su zabeležili komunikaciju sa C2 adresama 191.96.225.125 i 45.158.8.213 na portu 5173.
Lampion kampanja koristi fišing poruke sa ZIP fajlovima i finansijskom tematikom. U novijoj varijanti ZIP sadrži HTML fajl koji vodi do zlonamernog VBScript-a smeštenog na servisima kao što su AWS S3 ili Google Drive.
Analizirani Lampion VBScript fajlovi imaju približno 5 MB, ali većinu sadržaja čini beskoristan kod namenjen otežavanju analize, dok stvarna izvršna logika zauzima oko 5 KB.
Treća kampanja koristi portugalsku stranicu „Download Seguro - Factura“ i lažni CAPTCHA kako bi korisniku ponudila ISO fajl. U njemu se nalaze obfuskovani VBScript, legitimni VMware fajl vnetlib.exe i zlonamerni newdev.dll.
Kada se vnetlib.exe pokrene, koristi se DLL side-loading za učitavanje zlonamernog newdev.dll. Taj DLL dešifruje dodatni 64-bitni payload napisan u Pascalu koji omogućava izvršavanje PowerShell i CMD komandi, prenos fajlova, kontrolu miša i tastature, streaming ekrana i udaljeni shell.
Komandno-kontrolna infrastruktura ove treće kampanje koristila je adresu 148.224.62.243 na portu 7777, uz ponovne pokušaje povezivanja na svake tri sekunde.
Zašto je važno?
DLL side-loading je posebno nezgodan jer se zlonamerni kod izvršava preko legitimnog i često digitalno potpisanog programa. Zbog toga provera samo glavnog EXE fajla nije dovoljna za otkrivanje napada.
Napadači dodatno kombinuju ovu tehniku sa fišingom, cloud servisima, obfuskovanim skriptama i legitimnim Windows alatima kako bi otežali detekciju tokom više faza napada.
Preporuka Sajber Radara
Ne fokusirajte zaštitu samo na to da li je glavni program legitiman. Organizacije treba da prate iz koje lokacije se program pokreće, koje DLL fajlove učitava, koje procese pokreće i kakve izmene pravi na sistemu.
Posebno proverite neočekivane scheduled taskove, Microsoft Defender exclusions i instance vlc.exe, ngentask.exe ili vnetlib.exe koje se pokreću iz Temp, AppData ili drugih neuobičajenih direktorijuma zajedno sa nepoznatim DLL fajlovima.