BatCloak Malware-angrep bruker falske fakturaer

Sikkerhetsanalytikere har avdekket en kompleks serie med angrep som bruker phishing-taktikker forkledd som fakturarelaterte e-poster for å distribuere ulike typer skadelig programvare, inkludert Venom RAT, Remcos RAT, XWorm, NanoCore RAT og en tyver for kryptolommebokmålretting.

I følge en teknisk rapport fra Fortinet FortiGuard Labs inneholder e-postene Scalable Vector Graphics (SVG) filvedlegg, som, når de klikkes, starter infeksjonsprosessen.

BatCloak bruker obfuscated batch-skript

Angriperne bruker BatCloak malware obfuscation tool og ScrubCrypt for å skjule skadelig programvare i obfuscated batch scripts. BatCloak, avledet fra et verktøy kalt Jlaive og tilgjengelig for kjøp siden slutten av 2022, er designet for å laste nyttelaster i etterfølgende trinn på en måte som unngår tradisjonelle deteksjonsmetoder.

ScrubCrypt, opprinnelig identifisert av Fortinet i mars 2023 under en kryptojacking-kampanje knyttet til 8220-gjengen, antas å være en variant av BatCloak, ifølge forskning utført av Trend Micro.

BatCloak brukes til å levere RAT-malware

I den nylige kampanjen som ble undersøkt av cybersikkerhetseksperter, fungerer SVG-filen som en kanal for å levere et ZIP-arkiv som inneholder et batch-skript som sannsynligvis er opprettet med BatCloak. Dette skriptet pakker deretter ut ScrubCrypt-batchfilen, og distribuerer til slutt Venom RAT mens det etablerer utholdenhet på verten og omgår beskyttelsesmekanismer som AMSI og ETW.

Venom RAT, et derivat av Quasar RAT, gjør det mulig for angripere å ta kontroll over kompromitterte systemer, samle sensitive data og utføre kommandoer fra en kommando-og-kontroll-server (C2).

Cara Lin, en sikkerhetsforsker, bemerket at Venom RAT opprettholder kommunikasjonskanaler med C2-serveren for å skaffe flere plugins for ulike formål, inkludert nøkkelloggingsfunksjoner (f.eks. Venom RAT v6.0.3), NanoCore RAT, XWorm og Remcos RAT.

Lin la til at Remcos RAT-plugin ble distribuert fra VenomRATs C2-server ved å bruke tre metoder: et skjult VBS-skript kalt 'remcos.vbs', ScrubCrypt og GuLoader PowerShell.

I tillegg inkluderer skadevarekampanjen en tyverikomponent som samler inn systeminformasjon og trekker ut data fra mapper knyttet til ulike lommebøker og applikasjoner, slik som Atomic Wallet, Electrum, Ethereum, Exodus, Jaxx Liberty (pensjonert fra mars 2023), Zcash, Foxmail, og Telegram, og sender informasjonen til en ekstern server.