RAT Network Support Manager Adobe Flash, Chrome va Firefox uchun soxta yangilanishlar orqali tarqatiladi.

RAT NETSUPPORT MANAGER РАСПРОСТРАНЯЕТСЯ ЧЕРЕЗ ПОДДЕЛЬНЫЕ ОБНОВЛЕНИЯ ДЛЯ ADOBE FLASH, CHROME И FIREFOX

NetSupport Manager-dan foydalanib, tajovuzkorlar buzilgan tizimlarga masofadan kirishlari, ilovalarni ishga tushirishlari va hokazo.

FireEye’ning xavfsizlik bo‘yicha tadqiqotchilari tajovuzkorlar Adobe Flash, Chrome va FireFox kabi mashhur ilovalar uchun yangilanishlar niqobi ostida zararli dasturlarni tarqatish uchun buzilgan veb-saytlardan foydalangan zararli kampaniyani aniqladilar. Ba’zi hollarda, qonuniy masofaviy kirish vositasi (RAT) NetSupport Manager yangilanishlar orqali tarqatildi.

Tijoratda mavjud bo’lgan NetSupport Manager vositasi administratorlar tomonidan foydalanuvchilarning kompyuterlariga masofadan kirish uchun ishlatiladi. Biroq, qonuniy dasturni jabrlanuvchi kompyuterlariga o’rnatgan tajovuzkorlar ham noto’g’ri foydalanishlari mumkin.

Hujumchilar ushbu vositani buzib kirilgan veb-saytlar orqali tarqatadilar va uni mashhur ilovalar uchun yangilanishlar sifatida yashirishadi. Foydalanuvchi yangilanishni o’rnatganida, uning qurilmasiga zararli JavaScript fayli yuklab olinadi.

Fayl asosiy tizim ma’lumotlarini to’playdi va uni C&C serveriga yuboradi, qo’shimcha buyruqlarni oladi va keyin zararli yuklamani yetkazib berish uchun JavaScript skriptini bajaradi. Tadqiqotchilarning tushuntirishicha, Update.js nomli fayl keyin %AppData% katalogidan wscript.exe yordamida bajariladi.

Zararli kod mualliflari asl JavaScript fayliga bir necha qatlamli chalkashliklarni qo’lladilar va ikkinchi JavaScript faylini tahlil qilishni qiyinlashtirishga harakat qildilar.

JavaScript fayli bajarilgandan so’ng, C&C serveriga ulanishni boshlaydi va tid qiymatini joriy tizim sanasi bilan shifrlangan formatda yuboradi. Keyin skript server javobini shifrlaydi va uni step2 nomli funksiya sifatida bajaradi.

Bu funksiya arxitektura, kompyuter nomi, foydalanuvchi nomi, protsessor, OT, domen, ishlab chiqaruvchi, model, BIOS versiyasi, xavfsizlik yechimlarining mavjudligi, MAC manzili, klaviatura, displey kontrolleri konfiguratsiyasi va jarayonlar ro’yxati kabi turli xil tizim ma’lumotlarini to’playdi. Bunga javoban server step3 nomli funksiya va Update.js faylini yuboradi, bu esa o’z navbatida oxirgi zararli yuklamani yuklab oladi va bajaradi.

Kod serverdan bir nechta fayllarni, jumladan, masofaviy kirish vositasini o’z ichiga olgan mustaqil 7zip bajariladigan faylini va tizimga NetSupport mijozini o’rnatish uchun ommaviy skriptni yuklab olish uchun PowerShell buyruqlaridan foydalanadi.

Skript shuningdek, Windows xatolari haqida xabar berish va ilovalarning mosligini o’chirib qo’yishi, vositaning bajariladigan faylini ruxsat etilgan dasturlar ro’yxatiga qo’shishi, Ishga tushirish papkasiga yorliq yuklashi, ma’lum fayllarni yashirishi, artefaktlarni olib tashlashi va boshqalarni amalga oshirishi mumkin.

NetSupport Manager yordamida tajovuzkorlar buzilgan tizimlarga masofadan kirish huquqini qo’lga kiritishlari, ilovalarni ishga tushirishlari, joylashuv ma’lumotlarini olishlari va tizim ma’lumotlarini o’g’irlashlari mumkin.

Mutaxassislarning fikriga ko’ra, JavaScript fayli buzib kirish mumkin bo’lgan IP-manzillar ro’yxatini o’z ichiga olgan TXT faylini ham yuklab oladi. Bu IP-manzillar asosan AQSh, Germaniya va Niderlandiyada joylashgan.