VLC și VMware, abuzate pentru a strecura malware prin DLL side-loading în Brazilia și Portugalia

Atacatorii transformă software legitim pentru Windows într-un vehicul de livrare. În trei campanii distincte îndreptate împotriva utilizatorilor din Brazilia și Portugalia, executabile semnate din VLC Media Player, VMware și Microsoft .NET Framework au fost folosite pentru a încărca biblioteci malițioase, oferind operatorilor un proces cu aspect de încredere în spatele căruia să se ascundă.

Tehnica se numește DLL side-loading. În loc să modifice un program cunoscut, atacatorul plasează un DLL malițios în același director și lasă programul să îl încarce la pornire. Executabilul trece orice verificare de reputație; biblioteca de lângă el face răul.

Ce s-a întâmplat

Overlord RAT (Brazilia). Prima campanie începe cu e-mailuri de phishing care se dau drept birouri notariale braziliene și avertizează destinatarul despre un „protest” iminent împotriva firmei sale. Momeala indică un presupus document juridic, dar descărcarea este un VBScript care aduce un executabil sau un pachet Windows Installer (MSI). Scripturile își ascund logica asamblând șirurile de caractere din coduri numerice la rulare.

Două dintre pachetele de instalare din acest lanț folosesc side-loading. Unul împerechează biblioteca malițioasă cu un utilitar legitim din .NET Framework (ngentask.exe); celălalt livrează o copie a VLC Media Player. Ambele se despachetează într-un folder temporar numit „Adobe”. Etapele următoare descarcă fișiere suplimentare de pe Dropbox și Google Cloud Storage, adaugă excluderi în Microsoft Defender prin PowerShell și înregistrează task-uri programate numite „Windows Error Reporting”, care lansează un loader deghizat în WerFault.exe. Datele criptate recuperate din lanț s-au decodat în shellcode Donut, care rulează payload-ul final exclusiv în memorie.

Lanțul bazat pe VMware (Portugalia). A doua campanie pornește de pe o pagină în limba portugheză care promite o „descărcare securizată a facturii”. Un CAPTCHA fals îi livrează vizitatorului o imagine ISO. Înăuntru se află un VBScript obfuscat, un utilitar legitim VMware de instalare a rețelei (vnetlib.exe), un newdev.dll malițios și un fișier de definire a modulului. Binarul VMware este doar încărcătorul: DLL-ul decriptează prin XOR o bibliotecă pe 64 de biți scrisă în Pascal, care este adevăratul instrument de acces la distanță.

Acest payload în Pascal este complet echipat. Poate controla mouse-ul și tastatura, poate rula comenzi prin PowerShell sau CMD, poate scrie fișiere, transmite ecranul și deschide shell-uri interactive ascunse. Se poate și dezinstala singur, ștergându-și urmele. Dacă serverul de comandă și control nu răspunde, reîncearcă la fiecare trei secunde, un comportament care iese în evidență în telemetria de rețea.

Lampion (Portugalia). A treia campanie este un nou val al malware-ului bancar Lampion, livrat prin phishing cu tematică financiară și arhive ZIP denumite ca niște chitanțe de plată portugheze („COMPROVATIVO_…”). Scripturile sale sunt umflate la aproximativ 5 MB, deși codul util are doar vreo 5 KB, un truc ieftin care păcălește filtrele bazate pe dimensiune și încetinește analiza.

Cele trei operațiuni au în comun obiceiurile de livrare și o slăbiciune curioasă pentru cifra șapte în numele de fișiere și foldere, dar nu există dovezi că un singur grup le conduce pe toate. Tratați-le ca pe un set de tehnici înrudite, nu ca pe un actor unic confirmat.

De ce contează

Side-loading-ul anulează reflexul de a judeca un proces după executabilul său. Listele de permisiuni ale antivirusului, politicile de control al aplicațiilor și chiar un analist care se uită la arborele de procese vor vedea vlc.exe sau un instrument VMware și vor merge mai departe. Codul malițios trăiește într-o bibliotecă pe care procesul a încărcat-o dintr-un folder din care nu avea ce căuta să încarce.

Aceleași lanțuri arată și cum mai multe acțiuni Windows inofensive luate separat se adună într-o compromitere: descărcarea unui script, o excludere în Defender, un task programat, un binar de încredere care încarcă un DLL dintr-un folder temporar. Fiecare, izolat, e zgomot. Împreună, sunt o intruziune.

Indicatori de urmărit

Valorile sunt „defanged” intenționat; refaceți-le doar în SIEM sau în platforma de threat intelligence.

Pentru aceste lanțuri nu sunt disponibile deocamdată hash-uri de fișiere, așa că nu listăm niciunul.

Ce e de făcut

1. Alertați când binare de încredere încarcă biblioteci din foldere în care utilizatorul poate scrie. VLC, instrumentele VMware și utilitarele .NET nu au niciun motiv să ruleze din %TEMP% sau dintr-un folder numit „Adobe”. Evenimentele Sysmon de tip image-load (Event ID 7) fac acest lucru vizibil.
2. Tratați excluderile noi din Defender ca incidente, nu ca schimbări de configurare. Monitorizați execuțiile Set-MpPreference și Add-MpPreference lansate din scripturi.
3. Revizuiți task-urile programate create în afara instrumentelor voastre de deployment, mai ales cele care împrumută nume de componente Windows.
4. Corelați, nu triați alertele una câte una. O descărcare de script urmată de o excludere și de un task programat în câteva minute este un lanț, nu trei tichete cu prioritate mică.
5. Blocați sau izolați în sandbox atașamentele ISO și VBScript la gateway-ul de e-mail și instruiți personalul financiar și juridic din birourile lusofone despre momelile cu notariate și facturi.
6. Căutați indicatorii de mai sus în jurnalele de endpoint și proxy și izolați orice gazdă care se potrivește.

Astfel de lanțuri reușesc pentru că nimeni nu a testat dacă mediul le-ar opri cu adevărat. Angajamentele noastre de penetration testing includ exact acest tip de exercițiu assumed-breach: verificăm dacă o bibliotecă side-loaded, o excludere Defender scriptată sau un task programat redenumit ar fi prinse de controalele voastre înainte ca un atacator să afle asta în locul vostru.