Исследователи обнаружили новую вредоносную кампанию, в ходе которой злоумышленники используют малоизвестные утилиты Microsoft Windows в связке с безобидными программами, что позволяет им избежать обнаружения. Цель киберпреступников — кража данных.
Вредоносную активность обнаружили эксперты компании Symantec. Преступники подошли оригинально — они используют те инструменты, которые уже установлены на атакуемых машинах.
Помимо использования легитимных инструментов и процессов, злоумышленники запускают простые скрипты и шелл-код в памяти. Это как раз позволяет им произвести так называемую бестелесную атаку.
Благодаря использованию родного для системы программного обеспечения, тем самым минимизируя внедрение сторонних программ, вторжение в систему долгое время остается незамеченным.
Одним из легитимных инструментов, которые используют злоумышленники, является утилита WMIC — Windows Management Instrumentation Command, инструментарий управления Windows. Этот инструмент используется для административных задач, запроса системных настроек, процессов управления и выполнения сценариев.
Вместе с файлами XSL этот инструмент используется как часть многоступенчатой цепочки заражения и кражи конфиденциальных данных с машин Windows.
Сама цепочка начинается с фишинга, где в электронных письмах содержится вредоносная ссылка. Если жертва перейдет по ссылке, злонамеренный файл XSL загрузится с сервера. Сам файл содержит JavaScript, который выполняется с использованием mshta.exe (легитимный процесс Windows).
В коде JavaScript содержится список из 52 доменов, которые используются для случайной генерации домена и порта для загрузки файлов HTA и трех библиотек DLL. Библиотеки впоследствии регистрируются с помощью regsvr32.exe.
Затем уже загружаются дополнительные модули, что приводит к полной компрометации компьютера пользователя.
