Jak prawdziwe pliki do pobrania mogą ukrywać zdalne tylne furtki

Zaczyna się od prostego wyszukiwania.

Musisz skonfigurować zdalny dostęp do komputera kolegi. Wyszukujesz w Google hasło „RustDesk download”, klikasz jeden z pierwszych wyników i trafiasz na dopracowaną stronę internetową z dokumentacją, plikami do pobrania i znaną marką.

Instalujesz oprogramowanie, uruchamiasz je i wszystko działa dokładnie tak, jak powinno.

Nie widać jednak drugiego programu, który instaluje się wraz z nim — programu, który w sposób niezauważalny zapewnia atakującym stały dostęp do komputera.

Dokładnie to zaobserwowaliśmy podczas kampanii wykorzystującej fałszywą domenę rustdesk[.]work.

Przynęta: niemal idealna imitacja

Zidentyfikowaliśmy złośliwą stronę internetową rustdesk[.]work, która podszywa się pod legalny projekt RustDesk, którego strona znajduje się pod adresem rustdesk.com. Fałszywa strona jest bardzo podobna do prawdziwej, zawiera wielojęzyczne treści i wyraźne ostrzeżenia, w których (jak na ironię) twierdzi się, że rustdesk[.]work jest jedyną oficjalną domeną.

Ta kampania nie wykorzystuje luk w zabezpieczeniach oprogramowania ani nie opiera się na zaawansowanych technikach hakerskich. Jej sukces wynika wyłącznie z oszustwa. Gdy strona internetowa wygląda na wiarygodną, a oprogramowanie działa normalnie, większość użytkowników nie podejrzewa, że coś jest nie tak.

Co się dzieje po uruchomieniu instalatora?

Instalator celowo stosuje taktykę „przynęta i zamiana”:

1. Instaluje prawdziwy RustDesk, w pełni funkcjonalny i niezmodyfikowany.
2. Po cichu instaluje ukryte tylne drzwi, framework złośliwego oprogramowania znany jako Winos4.0.

Użytkownik widzi, że program RustDesk uruchamia się normalnie. Wszystko wydaje się działać prawidłowo. W międzyczasie backdoor po cichu nawiązuje połączenie z serwerem atakującego.

Łącząc złośliwe oprogramowanie z działającym oprogramowaniem, atakujący usuwają najbardziej oczywistą czerwoną flagę: uszkodzoną lub brakującą funkcjonalność. Z punktu widzenia użytkownika wszystko wydaje się być w porządku.

Wewnątrz łańcucha infekcji

Złośliwe oprogramowanie działa w ramach wieloetapowego procesu, którego każdy etap ma na celu uniknięcie wykrycia i zapewnienie trwałości:

Etap 1: Zainfekowany trojanem instalator

Pobrany plik (rustdesk-1.4.4-x86_64.exe) pełni funkcję zarówno kroplomierz i przynęta. Zapisuje dwa pliki na dysku:

• Legalny instalator RustDesk, który jest uruchamiany w celu zachowania przykrywki.
• logger.exe, ładunek Winos4.0

Złośliwe oprogramowanie ukrywa się w zasięgu wzroku. Podczas gdy użytkownik obserwuje normalną instalację programu RustDesk, złośliwe oprogramowanie jest po cichu instalowane w tle.

Etap 2: Wykonanie programu ładującego

The logger.exe Plik jest programem ładującym — jego zadaniem jest skonfigurowanie środowiska dla głównego implantu. Podczas wykonywania:

• Tworzy nowy proces
• Przydziela pamięć wykonywalną
• Przejście do nowej tożsamości środowiska uruchomieniowego: Libserver.exe

To przekazywanie ładowarki do implantu jest powszechną techniką stosowaną w zaawansowanym złośliwym oprogramowaniu w celu oddzielenia początkowego droppera od trwałego backdoora.

Zmieniając nazwę procesu, złośliwe oprogramowanie utrudnia analizę kryminalistyczną. Obrońcy poszukujący „logger.exe” nie znajdzie uruchomionego procesu o tej nazwie.

Etap 3: Wdrożenie modułu w pamięci

The Libserver.exe Proces rozpakowuje całą strukturę Winos4.0 w pamięci. Kilka modułów DLL WinosStager — oraz duży ładunek o wielkości około 128 MB — są ładowane bez zapisywania na dysku jako samodzielne pliki.

Tradycyjne narzędzia antywirusowe skupiają się na skanowaniu plików na dysku (wykrywanie oparte na plikach). Dzięki przechowywaniu swoich komponentów funkcjonalnych wyłącznie w pamięci, złośliwe oprogramowanie znacznie ogranicza skuteczność wykrywania opartego na plikach. Dlatego analiza behawioralna i skanowanie pamięci mają kluczowe znaczenie dla wykrywania zagrożeń takich jak Winos4.0.

Ukryty ładunek: Winos4.0

Drugorzędny ładunek został zidentyfikowany jako Winos4.0 (WinosStager): zaawansowana platforma zdalnego dostępu, która została zaobserwowana w wielu kampaniach, skierowanych głównie do użytkowników w Azji.

Po aktywacji umożliwia atakującym:

• Monitoruj aktywność ofiary i rób zrzuty ekranu
• Rejestruj naciśnięcia klawiszy i kradnij dane uwierzytelniające
• Pobierz i uruchom dodatkowe złośliwe oprogramowanie
• Zachowaj stały dostęp nawet po ponownym uruchomieniu systemu

Nie jest to zwykłe złośliwe oprogramowanie — to w pełni funkcjonalna platforma ataku. Po zainstalowaniu atakujący zyskują punkt zaczepienia, który mogą wykorzystać do prowadzenia działalności szpiegowskiej, kradzieży danych lub wdrożenia oprogramowania ransomware w wybranym przez siebie momencie.

Szczegóły techniczne: Jak złośliwe oprogramowanie się ukrywa

Złośliwe oprogramowanie wykorzystuje kilka technik, aby uniknąć wykrycia:

Działania związane z dowodzeniem i kontrolą

Wkrótce po instalacji złośliwe oprogramowanie łączy się z serwerem kontrolowanym przez atakującego:

• Adres IP: 207.56.13[.]76
• Port: 5666/TCP

To połączenie umożliwia atakującym wysyłanie poleceń do zainfekowanego komputera i otrzymywanie w zamian skradzionych danych. Analiza sieci potwierdziła stałą dwukierunkową komunikację zgodną z ustaloną sesją dowodzenia i kontroli.

W jaki sposób złośliwe oprogramowanie wtapia się w normalny ruch sieciowy

Złośliwe oprogramowanie jest szczególnie sprytne w sposobie ukrywania swojej aktywności w sieci:

Ponieważ ofiara zainstalowała prawdziwy program RustDesk, ruch sieciowy złośliwego oprogramowania jest mieszany z legalnym ruchem zdalnego pulpitu. To sprawia, że narzędzia zabezpieczające sieć mają większe trudności z identyfikacją złośliwych połączeń: zainfekowany komputer wygląda tak, jakby po prostu korzystał z programu RustDesk.

Co ujawnia ta kampania

Ten atak pokazuje niepokojącą tendencję: legalne oprogramowanie wykorzystywane jako przykrywka dla złośliwego oprogramowania.

Atakujący nie musieli szukać luki typu zero-day ani tworzyć wyrafinowanego exploita. Po prostu:

1. Zarejestrowano przekonującą nazwę domeny
2. Sklonowano legalną stronę internetową
3. Oprogramowanie dostarczane w pakiecie z oprogramowaniem złośliwym
4. Niech ofiara zajmie się resztą.

To podejście działa, ponieważ wykorzystuje ludzkie zaufanie, a nie słabości techniczne. Gdy oprogramowanie działa dokładnie tak, jak powinno, użytkownicy nie mają powodu, aby podejrzewać naruszenie bezpieczeństwa.

Wskaźniki naruszenia bezpieczeństwa

Suma kontrolna pliku (SHA256)

Wskaźniki sieciowe

Złośliwa domena: rustdesk[.]work

Serwer C2: 207.56.13[.]76:5666/TCP

Ładunki w pamięci

Podczas wykonywania złośliwe oprogramowanie rozpakowuje kilka dodatkowych komponentów bezpośrednio do pamięci:

Jak się chronić

Kampania rustdesk[.]work pokazuje, w jaki sposób atakujący mogą uzyskać dostęp bez wykorzystywania luk w zabezpieczeniach, ostrzeżeń lub uszkodzonego oprogramowania. Ukrywając się za zaufanymi narzędziami open source, atak ten osiągnął trwałość i przykrywkę, nie dając ofiarom żadnego powodu, aby podejrzewać naruszenie bezpieczeństwa.

Wniosek jest prosty: normalne działanie oprogramowania nie oznacza, że jest ono bezpieczne. Współczesne zagrożenia są zaprojektowane tak, aby wtopić się w otoczenie, dlatego niezbędne jest stosowanie wielowarstwowych zabezpieczeń i wykrywania behawioralnego.

Dla osób fizycznych:

• Zawsze sprawdzaj źródła pobierania. Przed pobraniem oprogramowania sprawdź, czy domena jest zgodna z oficjalnym projektem. W przypadku RustDesk legalną stroną jest rustdesk.com, a nie rustdesk.work ani podobne warianty.
• Bądź ostrożny w stosunku do wyników wyszukiwania. Atakujący wykorzystują SEO poisoning, aby wyświetlać złośliwe strony na górze wyników wyszukiwania. Jeśli to możliwe, przejdź bezpośrednio do oficjalnych stron internetowych, zamiast klikać linki wyszukiwania.
• Korzystaj z oprogramowania zabezpieczającego. Malwarebytes Premium wykrywa rodziny złośliwego oprogramowania, takie jak Winos4.0, nawet jeśli są one dołączone do legalnego oprogramowania.

Dla firm:

• Monitoruj nietypowe połączenia sieciowe. Należy zbadać ruch wychodzący na porcie 5666/TCP lub połączenia z nieznanymi adresami IP z systemów korzystających z oprogramowania do zdalnego pulpitu.
• Wprowadź listę dozwolonych aplikacji. Ogranicz liczbę aplikacji, które mogą działać w Twoim środowisku, aby zapobiec uruchamianiu nieautoryzowanego oprogramowania.
• Należy edukować użytkowników na temat typosquattingu. Programy szkoleniowe powinny zawierać przykłady fałszywych stron internetowych oraz sposoby weryfikacji legalnych źródeł pobierania plików.
• Zablokuj znaną złośliwą infrastrukturę. Dodaj wymienione powyżej wskaźniki IOC do swoich narzędzi bezpieczeństwa.

Od zgłaszania zagrożeń po ich usuwanie.

Zagrożenia cyberbezpieczeństwa nigdy nie powinny wykraczać poza nagłówek. Chroń swoje urządzenia przed zagrożeniami, pobierając Malwarebytes już dziś.