Ataki złośliwego oprogramowania BatCloak wykorzystują fałszywe faktury
Analitycy bezpieczeństwa odkryli złożoną serię ataków wykorzystujących taktykę phishingu podszywającą się pod wiadomości e-mail związane z fakturami w celu dystrybucji różnych typów złośliwego oprogramowania, w tym Venom RAT, Remcos RAT, XWorm, NanoCore RAT i złodzieja atakującego portfele kryptograficzne.
Według raportu technicznego sporządzonego przez Fortinet FortiGuard Labs, e-maile zawierają załączniki w postaci plików Scalable Vector Graphics (SVG), których kliknięcie inicjuje proces infekcji.
BatCloak używa zaciemnionych skryptów wsadowych
Napastnicy wykorzystują narzędzie do zaciemniania złośliwego oprogramowania BatCloak i ScrubCrypt, aby ukryć złośliwe oprogramowanie w zaciemnionych skryptach wsadowych. BatCloak, wywodzący się z narzędzia o nazwie Jlaive i dostępny w sprzedaży od końca 2022 r., ma za zadanie ładować ładunki kolejnych etapów w sposób omijający tradycyjne metody wykrywania.
Według badań przeprowadzonych przez Trend Micro, ScrubCrypt, pierwotnie zidentyfikowany przez Fortinet w marcu 2023 r. podczas kampanii cryptojackingu powiązanej z gangiem 8220, jest uważany za odmianę BatCloak.
BatCloak używany do dostarczania złośliwego oprogramowania RAT
W niedawnej kampanii zbadanej przez ekspertów ds. cyberbezpieczeństwa plik SVG służy jako kanał umożliwiający dostarczenie archiwum ZIP zawierającego skrypt wsadowy prawdopodobnie utworzony za pomocą BatCloak. Skrypt ten następnie rozpakowuje plik wsadowy ScrubCrypt, ostatecznie wdrażając Venom RAT, ustanawiając jednocześnie trwałość na hoście i omijając mechanizmy ochrony, takie jak AMSI i ETW.
Venom RAT, pochodna Quasar RAT, umożliwia atakującym przejęcie kontroli nad zaatakowanymi systemami, gromadzenie wrażliwych danych i wykonywanie poleceń z serwera dowodzenia i kontroli (C2).
Cara Lin, badaczka bezpieczeństwa, zauważyła, że Venom RAT utrzymuje kanały komunikacji z serwerem C2 w celu pozyskiwania dodatkowych wtyczek do różnych celów, w tym możliwości rejestrowania naciśnięć klawiszy (np. Venom RAT v6.0.3), NanoCore RAT, XWorm i Remcos RAT.
Lin dodał, że wtyczka Remcos RAT była dystrybuowana z serwera C2 VenomRAT przy użyciu trzech metod: zaciemnionego skryptu VBS o nazwie „remcos.vbs”, ScrubCrypt i GuLoader PowerShell.
Ponadto kampania złośliwego oprogramowania zawiera komponent złodzieja, który zbiera informacje o systemie i wyodrębnia dane z folderów powiązanych z różnymi portfelami i aplikacjami, takimi jak Atomic Wallet, Electrum, Ethereum, Exodus, Jaxx Liberty (wycofany w marcu 2023 r.), Zcash, Foxmail, i Telegram, wysyłając informacje do zdalnego serwera.
