Атакующие выбрали довольно тривиальный, но все еще очень эффективный способ доставки — фишинговые письма. Тем не менее в качестве вложения злоумышленники использовали не документы Microsoft Office, а ISO-файлы. Такой файл представляет собой образ оптического диска и после открытия пользователем монтируется как дополнительный в системе. Смонтированный диск содержит LNK-файл с именем «План Рейдеров.lnk», открытие которого и запустит процесс компрометации системы жертвы. Сразу после открытия LNK-файла с помощью интерпретатора PowerShell осуществляется запуск файла MsMpEng.hta с удаленного сервера: MsMpEng.hta содержит VBS-скрипт, который расшифровывает массив путем вычитания из каждого элемента числа 60516, переводит этот массив в строку и вызывает ее как команду: Эта команда загружает и запускает файл с удаленного сервера. Если файл имеет расширение .dll, используется rundll32.exe, если .ps1, то powershell.exe, если .msi — msiexec.exe. В остальных случаях файл запускается без использования дополнительных средств. В данном случае с удаленного сервера загружается файл Oilio.bat, который сохраняется в папку C:\Users%Имя_пользователя%\AppData\Roaming. Загруженный BAT-файл копирует powershell.exe из C:\Windows\System32 в C:\Users%Имя_пользователя%\AppData\Roaming\Oilio.bat.exe и добавляет его в исключения Windows Defender: После этого запускает сценарий, который извлекает из Oilio.bat строку base64, переводит ее в байты, расшифровывает их с помощью AES-256-CBC с ключом AA778CAE81AA8E082B9DC1B4C43D7170A89749703CE570C71028ABF2EAC4D7E3 и инициализирующим вектором 81C41ECFD66FEDE6888118B6CF1A4DF8, после чего распаковывает полученные данные с помощью алгоритма GZip. Полученный в результате .NET-файл проверяет, является ли среда виртуальной машиной VMware, VirtualBox, Hyper-V или QEMU, используя поля Manufacturer и Model из WMI-запроса Select * from Win32_ComputerSystem, и подключен ли к процессу отладчик. Если среда не является виртуальной машиной и отладчик не подключен, продолжает работу. Далее из ресурсов PE извлекается ресурс payload.exe, который расшифровывается AES-256-CBC с ключом 214E766E9025CDD3442F90E7C36E41A80A7B4DE93EACD4B17D10F083935EAD32 и IV 83E8EF88AFB1FD9168733393A3268AFE и распаковывается при помощи алгоритма GZip. Полученный файл представляет собой Umbral Stealer. Стилер может добавлять путь к своему телу в исключения, а также изменять настройки Windows Defender: В случае если стилер запущен не с административными привилегиями, он предложит пользователю их предоставить. Стилер может удалять себя следующей командой: Также стилер добавляет своему телу атрибуты «Скрытый» и «Системный»: Для сбора информации о скомпрометированной системе используется WMI. Так, для получения уникального идентификатора системы используется следующая команда: Для получения информации о видеоадаптере используется следующая команда: Сбор информации о размере диска системы осуществляется следующим образом: Данные о версии операционной системы стилер получает следующей командой: Данные о процессоре стилер получает из реестра при помощи PowerShell: Для получения информации о геолокации и об IP-адресе скомпрометированной системы стилер осуществляет запрос по следующему URL: Чтобы закрепиться в скомпрометированной системе, стилер копирует себя в папку автозагрузки под произвольным именем с расширением .scr. Стилер позволяет атакующим извлечь аутентификационные данные из следующих приложений: Brave, Chrome, Chromium, Comodo, Edge, Epic Privacy, Iridium, Opera, Opera GX, Slimjet, UR Browser, Vivaldi, Yandex, Roblox, Minecraft, Discord. Кроме того, стилер может создавать снимки с экрана, а также делать снимки с использованием веб-камеры. Собранные данные сохраняются в архив с именем Umbral-{Environment.MachineName}.zip и выгружаются с использованием Discord Webhooks. Команда киберразведки BI.ZONE регулярно сталкивается с инцидентами, в которых преступники получают первоначальный доступ в корпоративную сеть через электронную почту. Мы рекомендуем уделять особое внимание этому каналу, применять для фильтрации нежелательных писем специализированные сервисы наподобие BI.ZONE CESP. Этот продукт инспектирует каждое электронное сообщение, используя более 600 механизмов фильтрации на основе машинного обучения, статистического, сигнатурного и эвристического анализа. Кроме того, очень важно иметь возможность остановить кибератаку на любой ступени ее жизненного цикла. Для этого необходимо развивать процессы выявления, реагирования и предупреждения киберугроз. Одно из возможных решений — доверить эти задачи экспертам сервиса BI.ZONE TDR, которые используют комплекс технологий собственной разработки, данные threat intelligence от нашего управления киберразведки.