SecAtor

Солары препарировали HypeAgent, относя его к зловреду из эпохи, когда один троянец должен был уметь все. Современный подход подразумевает, что вредоносные ПО создаются под конкретную задачу. Стилер крадет данные, загрузчик устанавливает следующий модуль, майнер добывает крипту, а программа удаленного доступа обеспечивает управление зараженным компьютером. Если возможностей требуется больше, их обычно делят между несколькими компонентами, однако HypeAgent устроен иначе, напоминая трояны «старой школы», авторы которых стремились получить полный контроль над компьютером. HypeAgent распространялся преимущественно через вредоносные почтовые вложения, чаще всего маскируя под письма про оплату и заказы на поставку. Прикрепленный к письму JavaScript является первым звеном цепочки. Скрипт скрыто запускает PowerShell, после чего несколько промежуточных загрузчиков последовательно расшифровывают и передают друг другу следующие стадии. Значительная часть этого процесса проходит в памяти - .NET-сборки загружаются без сохранения в виде обычных исполняемых файлов на диске. Конкретная реализация цепочки может различаться, но ее конечная задача скрытной доставки HypeAgent остается единой. Одна из последних стадий маскируется под PNG-изображение. Файл имеет корректную структуру и нормально открывается в просмотрщиках, однако внутри текстового блока iTXt с названием Description скрывается зашифрованная полезная нагрузка. Загрузчик извлекает данные из метаданных PNG, расшифровывает их и запускает полученный HypeAgent внутри процесса svchost.exe. В исследованном семпле HypeAgent обнаружено 195 реализованных команд верхнего уровня. Некоторые команды содержат собственные меню с дополнительными операциями, поэтому общее количество доступных действий превышает две сотни. Среди возможностей HypeAgent встречаются функции, которые сложно ожидать от современного вредоноса. Например, умеет открыть и закрыть лоток CD/DVD-привода, если такой привод вообще установлен. Обычный вредоносный арсенал тоже присутствует: работа с файлами, процессами, службами и реестром, командная строка, веб-камера, запись звука, буфер обмена, криптоклипер, DLL-инъекция, автозапуск и планировщик задач. HypeAgent реализует сразу несколько вариантов удаленного управления компьютером. Первый - обычная трансляция экрана с передачей движений мыши и нажатий клавиш (классическая схема любого RAT). Второй - HVNC, то есть отдельный скрытый рабочий стол, которого не видит пользователь. Третий вариант - Hidden RDP. Его реализация интересна тем, что HypeAgent не влияет на системные termsrv.dll и umrdp.dll через свои обертки. Необычно реализована и работа с сетью. HypeAgent способен поднять TCP-туннель, изменить файл hosts, очистить DNS-кеш и показать таблицу маршрутов. Кроме того, может разорвать конкретное TCP-соединение по адресам и портам, не завершая использующий его процесс. Еще интереснее выглядит встроенный HTTPS-прокси с собственным локальным центром сертификации. Для обычного RAT излишняя по этой части функциональность выглядит уже довольно экзотично, превращая HypeAgent из инструмента удаленного управления в средство вмешательства в веб-трафик зараженного компьютера. Интересно устроена работа с украденными cookies. HypeAgent не просто собирает их из браузеров, а пытается валидировать сессии через настоящие сайты и API. Кроме того, HypeAgent включает функционал, больше похожий на инструментарии системного администратора. Под капотом есть и лайнер, больше похожий на самостоятельный продукт, а также - отдельная опция, предназначенная для electron-кошельков. В целом, более двухсот действий выглядят не случайно раздутым списком: они отражают сам подход разработчика. В этом смысле HypeAgent действительно напоминает зловреды старой закалки: получить компьютер целиком — и уже потом решить, что с ним делать. Подробный технический обзор и IOCs - в отчете.