TTL OSINT

PEAK LIGHT: Расшифровка вредоносного ПО, работающего только в оперативной памяти

Компания Mandiant разработала новый дроппер, работающий только с памятью, под названием PEAK LIGHT, который использует сложный многоступенчатый процесс внедрения для доставки инфокрадов "вредоносное ПО как услуга". Дроппер расшифровывает и запускает загрузчик на базе PowerShell, который отслеживается как PEAK LIGHT. Первоначальным источником заражения является файл быстрого доступа Microsoft (LNK), который подключается к сети доставки контента (CDN), в которой размещен запутанный JavaScript-дроппер, работающий только в памяти. Файл LNK может быть замаскирован под законный документ или программу, что позволяет легко скрывать его от посторонних глаз. Dropper использует различные варианты команд для извлечения и выполнения полезной нагрузки второго этапа, которая обычно представляет собой вредоносный HTML-файл, содержащий запутанный JavaScript-дроппер, работающий только в памяти. Злоумышленники используют такие методы уклонения, как использование системного бинарного прокси-сервера и злоупотребление сетью доставки контента, чтобы замести следы. Конечная полезная нагрузка может привести к краже конфиденциальной информации или другим вредоносным действиям.

Отказ от ответственности: Эта статья является частью автоматизированного сборника рекомендаций X-Force OSINT, позволяющего ускорить интеграцию статей с открытым исходным кодом в клиентские среды. Все авторские права принадлежат авторам оригинала.

Ссылка:https://cloud.google.com/blog/topics/threat-intelligence/peaklight-decoding-stealthy-memory-only-malware/

Выборочные показатели Compromise:

• https://nextomax.b-cdn.net/video.mp4
• understanndtytonyguw.shop
• deprivedrinkyfaiir.shop
• messtimetabledkolvk.shop
• b6b8164feca728db02e6b636162a2960

Следите за киберугрозами вместе с экспертами CRATU!
Анализ реальных атак, техники APT-групп, новые уязвимости, практические рекомендации по детекту и доля иронии — всё, как вы любите.

CRATU — ваш инсайдерский источник по кибербезопасности. Подписывайтесь на наш Telegram-канал