- 19,427
- 40
- 8 Ноя 2022
XWorm исчезает из песочницы ещё до того, как она успевает открыть журнал.
Новая волна атак с применением вредоносного ПО XWorm демонстрирует, насколько далеко продвинулись злоумышленники в разработке устойчивых к анализу и обнаружению инструментов. Для просмотра ссылки Войдиили Зарегистрируйся командой Netskope Threat Labs версия 6.0 этого вредоноса не только сохраняет все ключевые функции предыдущих поколений, но и включает сложные методы уклонения от защитных механизмов, при этом оставаясь полностью резидентной в оперативной памяти.
XWorm V6 начинается с внедрения через скрипт на VBScript, замаскированный под безобидный файл и доставляемый жертве через фишинговые сообщения или другие приёмы социальной инженерии. Этот скрипт использует методы сборки полезной нагрузки прямо во время выполнения — с применением массива символов, конвертируемых через ChrW и передаваемых в eval — что затрудняет статический анализ. Чтобы не вызвать подозрений, скрипт удаляет метаданные Zone.Identifier, обычно указывающие на загрузку из интернета, и инициирует загрузку PowerShell-скрипта, размещённого во временной папке.
Для обеспечения выживаемости в системе вредоносный компонент копирует себя в два пути — TEMP и APPDATA — под именем update.vbs и регистрирует в автозагрузке через ветку реестра, что представляет собой отход от прежнего использования планировщика задач. Этот PowerShell-скрипт также вносит изменения в библиотеку CLR.DLL, просматривая участки оперативной памяти и обнуляя строку «AmsiScanBuffer», что фактически отключает защитный механизм Antimalware Scan Interface и позволяет вредоносному коду беспрепятственно выполняться в памяти. Приём был заимствован из открытых исходников и позволяет незаметно выполнить любые вредоносные действия в памяти.
Затем вредонос загружает основной двоичный файл XWorm из репозитория GitHub, используя библиотеку .NET HTTP.Client, подгружает его через Assembly.Load и запускает через точку входа, не создавая файлов на диске. Этот подход делает анализ на основе файловых артефактов практически невозможным.
В новой сборке «Microsoft.exe» сохранена привязка к управляющему серверу через TCP, с конфигурацией, закодированной в base64. Но добавлены функции, усиливающие как уклонение, так и устойчивость. Например, если вредонос запущен с правами администратора (проверяется по группе WindowsBuiltInRole.Administra<span class="vpn-highlight" title="Использование VPN может нарушать законодательство РФ">tor</span>), он активирует SeDebugPrivilege, а затем помечает себя как критический системный процесс. Любая попытка его завершить приводит к краху системы с последующей перезагрузкой, после которой XWorm автоматически запускается снова благодаря записи в реестре.
Механизмы антианализа стали более изощрёнными. Если программа обнаруживает, что работает в среде Windows XP, она немедленно завершает выполнение, избегая песочниц, использующих устаревшие версии ОС. Ещё один приём — обращение к IP-API для анализа IP-адреса жертвы: если он относится к хостинг-провайдеру или дата-центру, выполнение также прекращается, что может указывать на ориентацию против автоматических анализаторов вроде Any.Run.
Сбор разведданных включает в себя сведения об имени хоста, характеристиках CPU и GPU, а также статус антивируса. Все эти данные упаковываются и отправляются на управляющий сервер. Кроме того, появился ряд новых команд: удаление плагинов с целью зачистки следов, запуск DDoS-атак через многопоточные POST-запросы, правки hosts-файла для подмены DNS и снятие скриншотов с последующей компрессией в JPEG с использованием MemoryStream и Bitmap.
XWorm Builder теперь предлагает злоумышленникам гибкость в выборе метода закрепления — можно использовать ключи реестра, задания планировщика или автозагрузку через папки. Это означает, что будущие версии могут варьироваться по структуре, но сохранять общую направленность на устойчивость, невидимость и контроль над системой.
Среди сигнатур, распознающих новую версию, указаны Gen:Variant.Jalapeno.683 и ByteCode-MSIL.Backdoor.XWorm, а сами индикаторы компрометации уже доступны для анализа. Netskope подчёркивает, что из-за того, что всё происходит в памяти, ключевым элементом защиты становится мониторинг системной активности, особенно изменений в реестре и нестандартных вызовов через PowerShell и .NET.
XWorm V6 стал показательным примером того, как современное вредоносное ПО отказывается от привычной файловой модели и всё глубже уходит в оперативную память, маскируясь под легитимные процессы и отключая защиту ещё до того, как та успевает отреагировать.
Новая волна атак с применением вредоносного ПО XWorm демонстрирует, насколько далеко продвинулись злоумышленники в разработке устойчивых к анализу и обнаружению инструментов. Для просмотра ссылки Войди
XWorm V6 начинается с внедрения через скрипт на VBScript, замаскированный под безобидный файл и доставляемый жертве через фишинговые сообщения или другие приёмы социальной инженерии. Этот скрипт использует методы сборки полезной нагрузки прямо во время выполнения — с применением массива символов, конвертируемых через ChrW и передаваемых в eval — что затрудняет статический анализ. Чтобы не вызвать подозрений, скрипт удаляет метаданные Zone.Identifier, обычно указывающие на загрузку из интернета, и инициирует загрузку PowerShell-скрипта, размещённого во временной папке.
Для обеспечения выживаемости в системе вредоносный компонент копирует себя в два пути — TEMP и APPDATA — под именем update.vbs и регистрирует в автозагрузке через ветку реестра, что представляет собой отход от прежнего использования планировщика задач. Этот PowerShell-скрипт также вносит изменения в библиотеку CLR.DLL, просматривая участки оперативной памяти и обнуляя строку «AmsiScanBuffer», что фактически отключает защитный механизм Antimalware Scan Interface и позволяет вредоносному коду беспрепятственно выполняться в памяти. Приём был заимствован из открытых исходников и позволяет незаметно выполнить любые вредоносные действия в памяти.
Затем вредонос загружает основной двоичный файл XWorm из репозитория GitHub, используя библиотеку .NET HTTP.Client, подгружает его через Assembly.Load и запускает через точку входа, не создавая файлов на диске. Этот подход делает анализ на основе файловых артефактов практически невозможным.
В новой сборке «Microsoft.exe» сохранена привязка к управляющему серверу через TCP, с конфигурацией, закодированной в base64. Но добавлены функции, усиливающие как уклонение, так и устойчивость. Например, если вредонос запущен с правами администратора (проверяется по группе WindowsBuiltInRole.Administra<span class="vpn-highlight" title="Использование VPN может нарушать законодательство РФ">tor</span>), он активирует SeDebugPrivilege, а затем помечает себя как критический системный процесс. Любая попытка его завершить приводит к краху системы с последующей перезагрузкой, после которой XWorm автоматически запускается снова благодаря записи в реестре.
Механизмы антианализа стали более изощрёнными. Если программа обнаруживает, что работает в среде Windows XP, она немедленно завершает выполнение, избегая песочниц, использующих устаревшие версии ОС. Ещё один приём — обращение к IP-API для анализа IP-адреса жертвы: если он относится к хостинг-провайдеру или дата-центру, выполнение также прекращается, что может указывать на ориентацию против автоматических анализаторов вроде Any.Run.
Сбор разведданных включает в себя сведения об имени хоста, характеристиках CPU и GPU, а также статус антивируса. Все эти данные упаковываются и отправляются на управляющий сервер. Кроме того, появился ряд новых команд: удаление плагинов с целью зачистки следов, запуск DDoS-атак через многопоточные POST-запросы, правки hosts-файла для подмены DNS и снятие скриншотов с последующей компрессией в JPEG с использованием MemoryStream и Bitmap.
XWorm Builder теперь предлагает злоумышленникам гибкость в выборе метода закрепления — можно использовать ключи реестра, задания планировщика или автозагрузку через папки. Это означает, что будущие версии могут варьироваться по структуре, но сохранять общую направленность на устойчивость, невидимость и контроль над системой.
Среди сигнатур, распознающих новую версию, указаны Gen:Variant.Jalapeno.683 и ByteCode-MSIL.Backdoor.XWorm, а сами индикаторы компрометации уже доступны для анализа. Netskope подчёркивает, что из-за того, что всё происходит в памяти, ключевым элементом защиты становится мониторинг системной активности, особенно изменений в реестре и нестандартных вызовов через PowerShell и .NET.
XWorm V6 стал показательным примером того, как современное вредоносное ПО отказывается от привычной файловой модели и всё глубже уходит в оперативную память, маскируясь под легитимные процессы и отключая защиту ещё до того, как та успевает отреагировать.
- Источник новости
- www.securitylab.ru
