Хакерите все по-често се насочват към потребителите на Windows със зловредната рамка Winos4.0, разпространявана чрез привидно доброкачествени приложения, свързани с игри.

Инструментариумът е еквивалент на постексплоатационните рамки Sliver и Cobalt Strike и беше документиран от Trend Micro това лято в доклад за атаки срещу китайски потребители.

Тогава злосторник, проследен като Void Arachne/Silver Fox, примамваше жертвите с предложения за различен софтуер (VPN, браузър Google Chrome), модифициран за китайския пазар, който включваше зловредния компонент.

В днешния доклад на компанията за киберсигурност Fortinet се посочва, че дейността се е развила, като хакерите вече залагат на игри и файлове, свързани с игри, за да продължат да атакуват китайски потребители.

Когато привидно легитимните инсталатори се изпълнят, те изтеглят DLL файл от „ad59t82g[.]com“, за да започнат многоетапен процес на заразяване.

На първия етап DLL файлът (you.dll) изтегля допълнителни файлове, създава среда за изпълнение и установява устойчивост чрез добавяне на записи в регистъра на Windows.

На втория етап инжектираният шелкод зарежда API, извлича данни за конфигурацията и установява връзка със сървъра за командване и управление (C2).

В третата фаза друг DLL (上线模块.dll) извлича допълнително кодирани данни от C2 сървъра, съхранява ги в регистъра на адрес „HKEY_CURRENT_USER\\Console\\0“ и актуализира адресите на C2.

На последния етап от веригата на атаката се зарежда модулът за вход (登录模块.dll), който извършва основните злонамерени действия:

• Събира информация за системата и околната среда (например IP адрес, данни за операционната система, процесор).
• Проверява за наличие на антивирусен софтуер и софтуер за наблюдение, работещ на хоста.
• Събира данни за конкретни разширения на портфейла за криптовалута, използвани от жертвата.
• Поддържа постоянна връзка със задна врата към сървъра C2, която позволява на нападателя да издава команди и да извлича допълнителни данни.
• Ексфилтрира данни след правене на снимки на екрана, следене за промени в клипборда и кражба на документи.

Winos4.0 проверява за наличието на различни инструменти за сигурност в системата, включително Kaspersky, Avast, Avira, Symantec, Bitdefender, Dr.Web, Malwarebytes, McAfee, AhnLab, ESET, Panda Security и спрения вече Microsoft Security Essentials.

Като идентифицира тези процеси, злонамереният софтуер определя дали се изпълнява в наблюдавана среда и съответно коригира поведението си или спира изпълнението.

Хакерите продължават да използват рамката Winos4.0 от няколко месеца насам и появата на нови кампании е показател, че ролята ѝ в злонамерените операции изглежда се е затвърдила.

Fortinet описва рамката като мощна, която може да се използва за контрол на компрометирани системи, с функционалност, подобна на Cobalt Strike и Sliver. Индикатори за компрометиране (IoC) са налични в докладите на Fortinet и Trend Micro.

Инфографики: Fortinet

Базова информация: Fortinet и Trend Micro