Неизвестен извършител е използвал зловреден саморазгъващ се архивен файл (SFX) в опит да установи постоянен достъп до средата на жертвата чрез задна врата – това показват нови данни на CrowdStrike.

SFX файловете са способни да извличат съдържащите се в тях данни, без да е необходим специален софтуер, който да показва съдържанието на файла. Това се постига, като се включва декомпресиращ фиш – част от кода, която се изпълнява, за да се разопакова архивът.

„SFX архивните файлове обаче могат да съдържат и скрита зловредна функционалност, която може да не е непосредствено видима за получателя на файла и може да бъде пропусната само от технологично базирани открития“, заяви изследователят от CrowdStrike Джай Минтън.

В случая, разследван от фирмата за киберсигурност, компрометираните данни за достъп до системата са били използвани за стартиране на легитимно приложение за достъпност на Windows, наречено Utility Manager (utilman.exe), и впоследствие за стартиране на защитен с парола SFX файл.

Това, от своя страна, става възможно чрез конфигуриране на дебъгер (друг изпълним файл) в регистъра на Windows към определена програма (в този случай utilman.exe), така че дебъгерът да се стартира автоматично при всяко стартиране на програмата.

Злоупотребата с utilman.exe заслужава внимание и поради това, че може да бъде стартирана директно от екрана за вход в Windows чрез използване на клавишната комбинация Windows logo key + U, което потенциално дава възможност на хакерите да конфигурират задни вратички чрез ключа Image File Execution Options Registry (Опции за изпълнение на файлове с изображения).

„При по-внимателно разглеждане на архива SFX се установи, че той функционира като защитена с парола задна врата чрез злоупотреба с опциите за настройка на WinRAR, а не съдържа зловреден софтуер“, обяснява Минтън.

По-конкретно, файлът е проектиран така, че да стартира PowerShell (powershell.exe), Command Prompt (cmd.exe) и Task Manager (taskmgr.exe) с привилегии NT AUTHORITY\SYSTEM, като предостави правилната парола на архива.

„Този тип атака вероятно ще остане неоткрита от традиционния антивирусен софтуер, който търси злонамерен софтуер вътре в архива (който често е защитен и с парола), а не поведението на декомпресора на SFX архива“, добавя Минтън.

Това не е първият случай, когато SFX файлове се използват в атаки като средство, с което нападателите остават неразкрити. През септември 2022 г. Kaspersky разкри кампания за зловреден софтуер, която е използвала връзки към такива защитени с парола файлове, за да разпространи RedLine Stealer.

Месец по-късно е наблюдавано, че скандалният ботнет Emotet изпраща SFX архив, който, след като бъде отворен от потребител, автоматично извлича втори SFX архив, защитен с парола, въвежда паролата и изпълнява съдържанието му без по-нататъшно взаимодействие с потребителя с помощта на пакетния скрипт.

За да се намалят заплахите, породени от този вектор на атака, се препоръчва SFX архивите да се анализират чрез софтуер за разархивиране, за да се идентифицират всички потенциални скриптове или двоични файлове, които са настроени да се извличат и изпълняват при изпълнение.