Фишинговая кампания, распространяющая загрузчик IceXLoader, уже затронула тысячи домашних и корпоративных пользователей, сообщают эксперты Minerva Labs. IceXLoader обновился до версии 3.3.3, в которой была расширена функциональность и появилась многоступенчатая цепочка доставки.

Напомню, что эта построенная на базе Nim малварь была обнаружена компанией Fortinet в июне 2022 года. Тогда по сети распространялся IceXLoader версии 3.0, но в загрузчике отсутствовали ключевые функции, и в целом он выглядел незаконченным. Теперь в Minerva Labs предупреждают, что последняя версия вредоноса явно знаменует собой завершение стадии бета-теста.

Сейчас атаки IceXLoader начинаются с фишинговых писем, к которым прилагается файл ZIP, содержащий экстрактор первой фазы. Этот экстрактор создает на машине жертвы новую скрытую папку (.tmp) в C:\Users\<username>\AppData\Local\Temp и загружает исполняемый файл следующей фазы атаки — STOREM~2.exe.

Этот исполняемый файл представляет собой загрузчик, который извлекает PNG с жестко закодированного URL-адреса и преобразует его в обфусцированный файл DLL, который представляет собой полезную нагрузку IceXLoader.

После расшифровки этого пейлоада, дроппер выполняет проверки, чтобы убедиться, что работает не внутри эмулятора, и выжидает 35 секунд, прежде чем запустить загрузчик малвари и обойти песочницы. В итоге IceXLoader встраивается в процесс STOREM~2.exe с помощью техники process hollowing.

Схема заражения

Исследователи рассказывают, что при первом запуске IceXLoader 3.3.3 копирует себя в две директории, названные по нику оператора, а затем собирает следующую информацию о хосте и передает ее на управляющий сервер:

  • IP-адрес;
  • UUID;
  • имя пользователя и машины;
  • версия ОС Windows;
  • установленные продукты безопасности;
  • наличие .NET Framework v2.0 и/или v4.0;
  • информация об оборудовании;
  • временная отметка.

Чтобы закрепиться в системе и сохранить присутствие между перезагрузками, вредонос создает новый ключ реестра в HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run.

«Загрузчик также создает и выполняет файл .bat, который отключает сканирование Windows Defender в реальном времени, а также добавляется в исключения Windows Defender, чтобы предотвратить сканирование каталога, в который скопирован IceXLoader», — пишут эксперты.

В настоящее время загрузчик поддерживает следующие команды:

  • остановить выполнение;
  • собрать информацию о системе и передать на управляющий сервер;
  • показать диалоговое окно с указанным сообщением;
  • перезапустить IceXLoader;
  • отправить запрос GET, загрузить файл и открыть его с помощью cmd/C;
  • отправить запрос GET на загрузку исполняемого файла, чтобы запустить его в памяти;
  • загрузить и выполнить сборку .NET;
  • изменить интервал связи с управляющим сервером;
  • обновить IceXLoader
  • удалить все копии с диска и прекратить работу.

Аналитики отмечают, что злоумышленники, стоящие за этой кампанией, явно не заинтересованы в защите украденных данных, поскольку БД SQLite, содержащая украденную информацию, свободно доступна по адресу их C&C-сервера. Открытая база данных содержит записи тысяч жертв, среди которых как домашние ПК, так и корпоративные машины.

Подписаться
Уведомить о
0 комментариев
Межтекстовые Отзывы
Посмотреть все комментарии