BatCloak Malware-attacker använder falska fakturor

Säkerhetsanalytiker har avslöjat en komplex serie attacker som använder nätfisketaktik förklädd som fakturarelaterade e-postmeddelanden för att distribuera olika typer av skadlig programvara, inklusive Venom RAT, Remcos RAT, XWorm, NanoCore RAT och en kryptoplånboksinriktad stjälare.

Enligt en teknisk rapport från Fortinet FortiGuard Labs innehåller e-postmeddelandena Scalable Vector Graphics (SVG) filbilagor, som, när de klickas, initierar infektionsprocessen.

BatCloak använder obfuscerade batchskript

Angriparna använder BatCloak malware obfuscation-verktyget och ScrubCrypt för att dölja skadlig programvara i obfuskerade batch-skript. BatCloak, härlett från ett verktyg som heter Jlaive och tillgängligt för köp sedan slutet av 2022, är designat för att ladda nyttolaster i efterföljande steg på ett sätt som undviker traditionella detekteringsmetoder.

ScrubCrypt, som ursprungligen identifierades av Fortinet i mars 2023 under en kryptojackningskampanj kopplad till 8220 Gang, tros vara en variant av BatCloak, enligt forskning utförd av Trend Micro.

BatCloak används för att leverera RAT-malware

I den senaste kampanjen som granskades av cybersäkerhetsexperter fungerar SVG-filen som en kanal för att leverera ett ZIP-arkiv som innehåller ett batchskript som troligen skapats med BatCloak. Det här skriptet packar sedan upp ScrubCrypt-batchfilen och distribuerar så småningom Venom RAT samtidigt som det etablerar beständighet på värden och kringgår skyddsmekanismer som AMSI och ETW.

Venom RAT, en derivata av Quasar RAT, gör det möjligt för angripare att ta kontroll över komprometterade system, samla in känslig data och utföra kommandon från en kommando-och-kontroll-server (C2).

Cara Lin, en säkerhetsforskare, noterade att Venom RAT upprätthåller kommunikationskanaler med C2-servern för att skaffa ytterligare plugins för olika ändamål, inklusive nyckelloggningsfunktioner (t.ex. Venom RAT v6.0.3), NanoCore RAT, XWorm och Remcos RAT.

Lin tillade att Remcos RAT-plugin distribuerades från VenomRATs C2-server med tre metoder: ett fördunklat VBS-skript som heter 'remcos.vbs', ScrubCrypt och GuLoader PowerShell.

Dessutom innehåller skadlig programvara en stjälkomponent som samlar in systeminformation och extraherar data från mappar som är associerade med olika plånböcker och applikationer, såsom Atomic Wallet, Electrum, Ethereum, Exodus, Jaxx Liberty (pensionerad från mars 2023), Zcash, Foxmail, och Telegram, skicka informationen till en fjärrserver.