Phát hiện mã độc VulcanRAT207.A phát tán qua WhatsApp và chiếm quyền SYSTEM trên Windows

Các nhà nghiên cứu bảo mật vừa phát hiện một chiến dịch tấn công mạng tinh vi, sử dụng tệp đính kèm độc hại trên nền tảng WhatsApp để triển khai một loại mã độc Remote Access Trojan (RAT) mang tên VulcanRAT207.A, có khả năng đạt quyền truy cập SYSTEM trên hệ điều hành Windows.

Chuỗi lây nhiễm và kỹ thuật né tránh

Chiến dịch bắt đầu khi người dùng nhận được một tệp nén ZIP chứa tài liệu tài chính giả mạo cùng tệp thực thi Statement.exe. Khi tệp này được kích hoạt, mã độc bắt đầu một chuỗi hành vi ẩn danh, chuyển đổi từ tiến trình cấp người dùng sang một dịch vụ Windows chạy với quyền LocalSystem. Để tránh bị phát hiện bởi các giải pháp bảo mật, tệp thực thi ban đầu được nén bằng thuật toán NRV2E. Sau khi khởi chạy, mã độc thực hiện kiểm tra môi trường để đảm bảo nó không chạy trong các sandbox hoặc máy ảo phân tích tự động bằng cách quét các thông số như dung lượng đĩa, tài nguyên CPU, nhật ký sự kiện và các khóa Registry đặc trưng.

Leo thang đặc quyền và tiêm tiến trình

Nếu không có quyền quản trị, mã độc cố gắng leo thang thông qua các đối tượng COM hoặc hàm runas của Windows. Đáng chú ý, nó sử dụng phương pháp PoolParty Variant 7 kết hợp với hệ thống I/O completion của Windows để tiêm shellcode vào tiến trình Task Scheduler. Vì Task Scheduler chạy dưới quyền LocalSystem, các thành phần sau đó sẽ kế thừa đặc quyền này mà không cần thực hiện thêm bước leo thang nào khác.

Tải xuống và qua mặt phần mềm bảo mật

Shellcode được tiêm sẽ kết nối tới địa chỉ 61[.]18[.]208[.]27 qua cổng 8888 để tải xuống một gói triển khai vào bộ nhớ. Gói này bao gồm tiện ích VulkanInfo hợp lệ có chữ ký của Intel, tệp vulkan-1.dll độc hại, tệp vulkan-1.bin và một DLL triển khai. Mã độc sử dụng kỹ thuật DLL sideloading để tải tệp độc hại thông qua ứng dụng hợp lệ, đồng thời cài đặt GoFly64.sys, một trình điều khiển mạng có chữ ký hợp lệ, để can thiệp vào các tiến trình bảo mật như bdservicehost.exe và bduserhost.exe.

Duy trì sự hiện diện và biện pháp phòng ngừa

Để duy trì sự hiện diện trên hệ thống, mã độc tạo một tác vụ hệ thống có tên USOPrivate Kit hoặc USOPrivate. Tác vụ này khởi chạy vulkaninfo-64.exe, từ đó tải vulkan-1.dll để tái tạo RAT trong bộ nhớ. Các tổ chức được khuyến cáo nên chặn các tệp thực thi nhận được qua WhatsApp, đặc biệt là các tệp ZIP liên quan đến tài liệu tài chính. Đội ngũ SOC cần săn tìm các tiến trình Task Scheduler có hành vi bộ nhớ bất thường và giám sát chặt chẽ việc thực thi vulkaninfo-64.exe từ thư mục C:\Program Files\Common Files\.