CR4T-malware gebruikt in de DuneQuixote-campagne
Overheidsinstanties in het Midden-Oosten zijn het middelpunt geworden van een geheime operatie die tot doel heeft een nieuw clandestien toegangspunt te introduceren, bekend als CR4T.
Volgens cybersecurityonderzoekers werd deze activiteit in februari 2024 opgegraven, wat erop wijst dat er sprake is van potentiële activiteit die minstens een jaar teruggaat. De campagne, genaamd DuneQuixote, is uitgevoerd met tactieken die erop gericht zijn detectie en analyse te dwarsbomen, zowel in de communicatiekanalen als binnen de malware zelf.
CR4T-aanvalsketen
De aanval begint met een dropper, beschikbaar in twee vormen: een standaard uitvoerbaar bestand of DLL-bestand, en een aangepast installatieprogramma voor de legitieme tool Total Commander. Ongeacht de variant is de primaire taak van de dropper het extraheren van een gecodeerd command-and-control (C2)-adres met behulp van een innovatieve methode om de locatie van de server te verdoezelen, waardoor gemakkelijke detectie door geautomatiseerde analysetools wordt voorkomen.
Dit proces omvat het combineren van de bestandsnaam van de dropper met geselecteerde fragmenten uit Spaanse gedichten in de code, en vervolgens het genereren van een MD5-hash om het C2-serveradres te decoderen.
Eenmaal verbonden met de C2-server, haalt de dropper een volgende payload op, op voorwaarde dat deze een vooraf gedefinieerde User-Agent-reeks in het HTTP-verzoek presenteert. De toegang tot deze payload is beperkt, waardoor de juiste User-Agent nodig is of deze gedurende een beperkte tijd beschikbaar is na de release van een voorbeeld van de malware.
Ondertussen behoudt het Trojanized Total Commander-installatieprogramma de kernfunctie van de dropper, maar bevat het wijzigingen. Het elimineert de Spaanse gedichtreeksen en voegt verdere anti-analysecontroles toe, waardoor verbindingen met de C2-server onder specifieke omstandigheden worden voorkomen, zoals de aanwezigheid van foutopsporingstools, gebrek aan cursorbeweging na een bepaalde periode, onvoldoende RAM of schijfruimte.
CR4T, gecodeerd in C/C++, is een implantaat met alleen geheugen dat de toegang van aanvallers via een opdrachtregelconsole vergemakkelijkt, bestandsbewerkingen uitvoert en gegevens uitwisselt met de C2-server.
