Нова зловредна кампания, насочена към потребители на Windows, използва подвеждащи LNK shortcut файлове за разпространение на MoonPeak – опасен remote access trojan (RAT), считан за вариант на XenoRAT. Анализите свързват атаката с групи, асоциирани със Северна Корея, като основните цели са инвеститори и криптотрейдъри.
Целева аудитория и метод на атака
Кампанията разчита на социално инженерство чрез файлове, маскирани като легитимни PDF документи, съдържащи инвестиционни и трейдинг стратегии. Файловете носят корейски имена и създават усещане за автентично финансово съдържание.
При отваряне на LNK файла:
-
се стартира зловредна верига от действия;
-
паралелно се показва фалшив PDF документ;
-
зловредният код се изпълнява незабелязано за потребителя.
Скритата инфекционна верига
LNK файлът съдържа XOR-кодиран PDF, който се отваря нормално, докато във фонов режим се изпълнява силно обфускиран PowerShell скрипт.
Етап 1: Anti-analysis проверки
Преди изпълнение зловредният код проверява за наличие на:
-
виртуални среди;
-
инструменти за анализ като IDA Pro, Wireshark и OllyDbg;
-
sandbox индикатори.
При засичане на анализ, изпълнението се прекратява незабавно.
Многоетапна инфекция и устойчивост
Етап 2: Fileless изпълнение
-
Създават се временни файлове и директории с произволни имена;
-
Изтегля се GZIP-компресиран payload от GitHub;
-
Payload-ът се зарежда директно в паметта без запис на диск.
Етап 3: Пълен контрол
-
Създава се Scheduled Task за автоматично стартиране;
-
Инсталира се MoonPeak RAT, обфускиран с ConfuserEx;
-
Установява се връзка с C2 сървър на адрес 27.102.137[.]88:443.
Злоупотреба с доверени платформи
Инфраструктурата на атаката използва GitHub хранилища за хостване на зловредни компоненти. Тази техника, известна като Living Off Trusted Sites (LOTS), позволява заобикаляне на защитни механизми чрез използване на легитимни платформи.
MoonPeak демонстрира еволюцията на съвременните киберзаплахи, комбинирайки социално инженерство, fileless техники и злоупотреба с доверени услуги. Ограничаването на LNK файлове, мониторингът на PowerShell активности и използването на EDR решения са критични мерки за защита.
