Типичный Сисадмин

😮 Исследователи из GReAT (ЛК) выкатили разбор новой APT-кампании группировки Armored Likho. Хацкеры бьют по госсектору и энергетике, притаскивая на компьютер жертвы всю среду разработки. Всё начинается с вредоносного LNK-файла. Используется уязвимость ярлыков ZDI-CAN-25373 - она позволяет прятать PowerShell-команды за кучей пробелов и переносов строк. После клика загрузчик качает с GitHub портативный архив с Python 3.12, скрипт get-pip.py и... прямо на машине пользователя запускает установку необходимых библиотек через pip! Затем через VBScript создается задача в планировщике, и стартует основной модуль. Главный пейлоад - BusySnake Stealer. Это .pyw скрипт, закрытый протектором PyArmor Pro 9.2.0. Код расшифровывается кусками прямо в оперативной памяти. Что в это время происходит в системе: 🟢 Вскрытие браузеров. Для Chromium-движков скрипт лезет в БД, вытаскивает зашифрованный мастер-ключ и расшифровывает его виндовой функцией CryptUnprotectData (DPAPI). Для Firefox всё еще вкуснее... скрипт дергает родную мозилловскую библиотеку NSS и функцию PK11SDR_Decrypt, так как огнелис хранит базу ключей открытым текстом (если не задан пароль). 🟢 Если парсить SQLite-базы не выходит, малварь использует костыль. Скрипт генерит на диске папку с самописным Chrome-расширением (manifest.json + sw.js), поднимает локальный веб-сервер на 127.0.0.1:8000 и принудительно перезапускает Chrome с ключом --load-extension. Расширение парсит куки сессий и сливает их на локалхост, откуда они улетают на C2-сервер хацкерам. 🟢 Скрипт киляет процесс telegram.exe, архивирует святую папку tdata и отправляет хозяину. Если на ПК стоит удаленка RustDesk, то троян ее ребутает. Пользователь видит перезапуск, вводит пароль заново, а питоновский скрипт делает скриншот и ворует доступ. 🟢 Прямо в коде зашита логика Go2Tunnel. Скрипт получает с сервера приватный RSA-ключ и поднимает невидимый обратный SSH-туннель до хакерской ноды. В свежих версиях хацкеры пошли еще дальше. Чтобы не палиться при создании задач в автозагрузке, они переписали логику на библиотеку win32com.client. Теперь они лезут напрямую в COM-объекты Windows (Schedule.Service), что делает закрепление в системе практически невидимым для базового мониторинга процессов. Типичный 🥸 Сисадмин