VulcanRAT207.A: allegato WhatsApp installa un RAT con accesso SYSTEM su Windows

• Campagna via WhatsApp: ZIP con Statement.exe installa il RAT VulcanRAT207.A su Windows
• Il malware ottiene privilegi SYSTEM tramite injection nel servizio Task Scheduler
• Un driver firmato termina processi di sicurezza Baidu; persistenza con task USOPrivate
• Bloccare eseguibili e ZIP da messaggistica; cercare task e file indicati da Morphisec

Un allegato WhatsApp malevolo viene usato per installare su Windows un remote access trojan (RAT) capace di raggiungere privilegi SYSTEM. Lo ha descritto Morphisec, che ha analizzato l’intera catena di infezione. Il payload finale si chiama VulcanRAT207.A.

Come parte l’attacco

L’esca è un archivio ZIP che si presenta come documento finanziario e contiene un eseguibile, Statement.exe. Quando la vittima lo apre, parte una sequenza di fasi separate: decompressione, elevazione dei privilegi, injection di codice, download del payload, disattivazione degli strumenti di sicurezza, persistenza e controllo remoto. Questa suddivisione limita i comportamenti sospetti visibili in un singolo file e rende l’analisi più difficile.

Il primo eseguibile è fortemente compresso con NRV2E. Il loader controlla poi di non essere in un ambiente di analisi: verifica spazio su disco, schermo, memoria, CPU, registri eventi, chiavi di Registry, indizi di macchine virtuali e prodotti di sicurezza. Usa anche controlli temporali contro sandbox lente o emulate.

Privilegi SYSTEM e injection

Se non ha già i permessi di amministratore, il malware tenta l’elevazione tramite oggetti COM, con la funzione runas come alternativa. Abilita SeDebugPrivilege, ripristina una copia pulita di ntdll.dll per eliminare gli hook di sicurezza in user mode e inietta uno shellcode downloader nel processo che ospita il servizio Task Scheduler.

Invece del più comune CreateRemoteThread, usa la tecnica PoolParty Variant 7, basata sul sistema di I/O completion di Windows. Poiché Task Scheduler gira come LocalSystem, i componenti successivi ereditano direttamente i privilegi SYSTEM. Lo shellcode contatta un server remoto sulla porta 8888 e scarica in memoria un pacchetto con:

• una utility VulkanInfo legittima, firmata Intel;
• una vulkan-1.dll malevola;
• un contenitore vulkan-1.bin con il RAT;
• una DLL di deployment.

Driver firmato e persistenza

Prima della persistenza, la DLL tenta di installare GoFly64.sys, un driver cinese per il filtraggio di rete con firma legittima. Il driver riceve gli ID dei processi da terminare tramite il codice di controllo 0x12227A. Secondo Morphisec, i bersagli sono bdservicehost.exe e bduserhost.exe, legati a software di sicurezza Baidu. Il driver firmato consente di agire a livello kernel.

Per la persistenza, i file vulkaninfo-64.exe, vulkan-1.dll e vulkan-1.bin vengono scritti in C:\Program Files\Common Files\. Viene poi creato un task pianificato SYSTEM chiamato USOPrivate Kit o USOPrivate, con un nome che richiama gli aggiornamenti Microsoft. All’avvio, l’utility legittima carica con DLL sideloading la libreria malevola, che ricostruisce il RAT in memoria.

Cosa fa VulcanRAT207.A

Dopo una fase iniziale in HTTP, il RAT comunica via WebSocket versione 13. Gli operatori possono:

• raccogliere dati su host, utenti, connessioni, applicazioni, processi, servizi, log e file;
• aprire shell remote, catturare lo schermo, registrare i tasti e controllare mouse e tastiera;
• modificare la clipboard e bloccare il traffico con regole Windows Filtering Platform;
• creare account amministratore locali, cambiare password, scaricare ed eseguire file, registrare altri driver.

Cosa fare

• Bloccare i contenuti eseguibili ricevuti da WhatsApp e altre piattaforme di messaggistica, in particolare gli archivi ZIP che dichiarano di contenere estratti conto o documenti fiscali.
• Cercare processi Task Scheduler con attività anomala in memoria, la creazione del task USOPrivate Kit, file inattesi in C:\Program Files\Common Files\ ed esecuzioni di vulkaninfo-64.exe da quella cartella.
• Trattare come evento ad alta priorità la creazione inattesa di servizi driver, soprattutto da percorsi temporanei nella directory dei driver di Windows.
• Monitorare le installazioni di driver firmati e i tentativi di terminare i processi dei prodotti di sicurezza.

Indicatori di compromissione (IoC)

61[.]18[.]208[.]27
Statement.exe
vulkan-1.dll
vulkan-1.bin
vulkaninfo-64.exe
GoFly64[.]sys
bdservicehost.exe
bduserhost.exe
USOPrivate Kit
USOPrivate

Fonte: Cyber Security News · Foto: Cyber Security News