یک زنجیره بدافزاری پیشرفته که از طریق پیام‌های واتس‌اپ و با استفاده از فایل‌های فریبنده (Lure) مربوط به اسناد مالی توزیع می‌شود، شناسایی شده است. این بدافزار با تزریق کد به سرویس Task Scheduler ویندوز، قادر است Payloadهای بعدی را با سطح دسترسی LocalSystem اجرا کند.
مراحل اولیه و مکانیسم‌های ضد-تحلیل
فایل اجرایی اولیه به عنوان یک Wrapper فشرده شده با NRV2E عمل می‌کند که Loader مخرب خود را به‌طور کامل در حافظه بازسازی می‌کند. این روش باعث کاهش ردپای بدافزار روی دیسک شده و بررسی استاتیک (Static Inspection) رشته‌ها و منطق کنترل جریان را برای تحلیل‌گران دشوار می‌سازد.
این Loader پیش از برقراری ارتباط با زیرساخت فرمان و کنترل (C2)، پروفایل دقیقی از سیستم میزبان تهیه می‌کند. این بررسی‌ها شامل موارد زیر است:
- تنظیمات نمایشگر، میزان حافظه و فضای ذخیره‌سازی موجود.
- ویژگی‌های CPU و بررسی رکوردهای Event Log و Registry.
- شناسایی محیط‌های مجازی‌سازی و بررسی وجود پردازش‌های امنیتی Baidu.
- استفاده از Timing Gates و بررسی‌های Anti-hook برای متوقف کردن اجرا در محیط‌های Sandbox یا شبیه‌ساز.
ارتقاء سطح دسترسی و تکنیک PoolParty
پس از بررسی میزبان، بدافزار تلاش می‌کند از طریق تکنیک‌های COM auto-elevation سطح دسترسی خود را ارتقاء دهد. در صورت موفقیت، قابلیت SeDebugPrivilege فعال شده و نسخه‌ای پاک از ntdll.dll بازیابی می‌شود تا نظارت‌های User-mode تضعیف گردند.
نقطه کلیدی این حمله، استفاده از تکنیک PoolParty Variant 7 است. در این روش، بدافزار به جای استفاده از توابع رایج مانند CreateRemoteThread، یک Callback مخرب از نوع TP_DIRECT را از طریق یک صف I/O completion به Thread Pool پردازش هدف (در اینجا سرویس Task Scheduler) تزریق می‌کند. از آنجایی که Task Scheduler با دسترسی LocalSystem اجرا می‌شود، Downloader تزریق شده نیز این سطح از دسترسی را به ارث می‌برد و دیگر نیازی به اکسپلویت‌های Local Privilege Escalation (LPE) در مراحل بعدی نیست.
دور زدن دفاعات و استقرار نهایی
این بدافزار از مدل Bring-Your-Own-Vulnerable-Driver (BYOVD) استفاده می‌کند و درایور دارای امضای معتبر GoFly64.sys را مستقر می‌سازد تا از طریق IOCTL 0x12227A، پردازش‌های امنیتی Baidu را از سطح Kernel متوقف کند.
برای ایجاد تداوم (Persistence)، بدافزار از تکنیک DLL Side-loading استفاده می‌کند. یک فایل اجرایی معتبر و امضا شده توسط اینتل به نام vulkaninfo-64.exe را به همراه یک DLL مخرب (vulkan-1.dll) در مسیر C:Program FilesCommon Files قرار می‌دهد. سپس یک Task زمان‌بندی شده با نام USOPrivate Kit ایجاد می‌کند تا در هنگام بوت سیستم، این ابزار را اجرا کند.
در نهایت، فایل vulkan-1.dll یک Payload را از فایل vulkan-1.bin بازسازی کرده و Implant نهایی موسوم به VulcanRAT207.A را اجرا می‌کند. این RAT از طریق WebSocket به سرور C2 متصل شده و قابلیت‌هایی نظیر کنترل دسکتاپ از راه دور، دسترسی به Event Log، تغییر رمز عبور و سرقت اطلاعات کلیپ‌بورد را فراهم می‌کند.
توصیه‌های امنیتی و شناسایی (Hunting)
تیم‌های SOC و امنیت باید موارد زیر را رصد کنند:
- بلاک کردن ارتباطات با IP
61[.]18[.]208[.]27روی پورت 8888. - بررسی اجرای فایل‌های
Statement*.exeکه از طریق برنامه‌های پیام‌رسان یا آرشیوهای ZIP وارد شبکه شده‌اند. - مانیتورینگ Task Scheduler برای شناسایی تسک‌های مشکوک با نام USOPrivate Kit.
- جستجو برای وجود ترکیب فایل‌های
vulkaninfo-64.exe،vulkan-1.dllوvulkan-1.binدر مسیرC:Program FilesCommon Files. - رصد ایجاد سرویس‌های درایور Kernel مشکوک و لود شدن
GoFly64.sys.
