01/08/25
Обнаруженная командой Netskope Threat Labs версия 6.0 этого вредоноса не только сохраняет все ключевые функции предыдущих поколений, но и включает сложные методы уклонения от защитных механизмов, при этом оставаясь в оперативной памяти, пишет Securitylab.
XWorm V6 начинается с внедрения через скрипт на VBScript, замаскированный под безобидный файл и доставляемый жертве через фишинговые сообщения или другие приёмы социальной инженерии. Этот скрипт использует методы сборки полезной нагрузки прямо во время выполнения — с применением массива символов, конвертируемых через ChrW и передаваемых в eval — что затрудняет статический анализ. Чтобы не вызвать подозрений, скрипт удаляет метаданные Zone.Identifier, обычно указывающие на загрузку из интернета, и инициирует загрузку PowerShell-скрипта, размещённого во временной папке.
Для обеспечения выживаемости в системе вредоносный компонент копирует себя в два пути — TEMP и APPDATA — под именем update.vbs и регистрирует в автозагрузке через ветку реестра, что представляет собой отход от прежнего использования планировщика задач. Этот PowerShell-скрипт также вносит изменения в библиотеку CLR.DLL, просматривая участки оперативной памяти и обнуляя строку «AmsiScanBuffer», что фактически отключает защитный механизм Antimalware Scan Interface и позволяет вредоносному коду беспрепятственно выполняться в памяти. Приём был заимствован из открытых исходников и позволяет незаметно выполнить любые вредоносные действия в памяти.
Затем вредонос загружает основной двоичный файл XWorm из репозитория GitHub, используя библиотеку .NET HTTP.Client, подгружает его через Assembly.Load и запускает через точку входа, не создавая файлов на диске. Этот подход делает анализ на основе файловых артефактов практически невозможным.
В новой сборке «Microsoft.exe» сохранена привязка к управляющему серверу через TCP, с конфигурацией, закодированной в base64. Но добавлены функции, усиливающие как уклонение, так и устойчивость. Например, если вредонос запущен с правами администратора (проверяется по группе WindowsBuiltInRole.Administrator), он активирует SeDebugPrivilege, а затем помечает себя как критический системный процесс. Любая попытка его завершить приводит к краху системы с последующей перезагрузкой, после которой XWorm автоматически запускается снова благодаря записи в реестре.
Механизмы против анализа стали более изощрёнными. Если программа обнаруживает, что работает в среде Windows XP, она немедленно завершает выполнение, избегая песочниц, использующих устаревшие версии ОС. Ещё один приём — обращение к IP-API для анализа IP-адреса жертвы: если он относится к хостинг-провайдеру или дата-центру, выполнение также прекращается, что может указывать на ориентацию против автоматических анализаторов вроде Any.Run.
Сбор разведданных включает в себя сведения об имени хоста, характеристиках CPU и GPU, а также статус антивируса. Все эти данные упаковываются и отправляются на управляющий сервер. Кроме того, появился ряд новых команд: удаление плагинов с целью зачистки следов, запуск DDoS-атак через многопоточные POST-запросы, правки hosts-файла для подмены DNS и снятие скриншотов с последующей компрессией в JPEG с использованием MemoryStream и Bitmap.
XWorm Builder теперь предлагает злоумышленникам гибкость в выборе метода закрепления — можно использовать ключи реестра, задания планировщика или автозагрузку через папки. Это означает, что будущие версии могут варьироваться по структуре, но сохранять общую направленность на устойчивость, невидимость и контроль над системой.
