#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Созданный с применением социальной инженерии командный файл запускает многоэтапное заражение AsyncRAT с использованием обфусцированных PowerShell и AutoIT, а также механизма закрепления в папке автозагрузки. Загрузчик расшифровывает полезную нагрузку в памяти, внедряет ее в `charmap.exe`, обходит AMSI и выполняет обфусцированную .NET-сборку AsyncRAT. RAT поддерживает захват экрана, разведку системы, выполнение команд и обмен данными с C2 по протоколу TCP через `158.51.122.136:4944`.-----

В отчете описывается многоэтапная цепочка заражения AsyncRAT, инициированная методом социальной инженерии с помощью командного файла с именем «Right-click to open Invoice Details.bat». Командный файл запускает PowerShell со скрытым окном и отключенным профилем, создает обфусцированный каталог в папке временных файлов пользователя, восстанавливает полезную нагрузку в кодировке Base64 из десяти фрагментов, удаляет добавленные мусорные символы и декодирует ее с помощью XOR с повторяющимся ключом. Он записывает на диск переименованный легитимный интерпретатор AutoIT, скрипт-загрузчик AutoIT с именем `kojuyn.ini` и зашифрованную полезную нагрузку без расширения.

Закрепление обеспечивается через папку автозагрузки Windows, а не через ключ реестра. Размещенный в ней командный файл повторно запускает интерпретатор AutoIT и его скрипт при входе пользователя в систему. Использование подписанного бинарного файла AutoIT со случайным именем обеспечивает доверенный узел выполнения, тогда как внешний файл `.ini` содержит вредоносную логику загрузчика.

Скрипт AutoIT считывает зашифрованную полезную нагрузку из соседнего файла и расшифровывает ее в памяти с помощью однобайтового XOR-ключа `0x36`, обрабатывая данные в обратном порядке. Имена API, строки типов и имена файлов восстанавливаются во время выполнения из массивов целых чисел, закодированных с помощью XOR. Дополнительные строки декодируются из шестнадцатеричных представлений с использованием ключа `0x8F`. Загрузчик запускает подписанный Microsoft процесс `charmap.exe` из каталога Windows SysWOW64 и внедряет расшифрованную полезную нагрузку с помощью `OpenProcess`, `VirtualAllocEx`, `WriteProcessMemory` и `CreateRemoteThread`. После этого процесс AutoIT завершается, а внедренный код продолжает выполняться внутри `charmap.exe`.

PE-Sieve обнаружил внедренный PE-файл .NET, для которого не существует соответствующего файла на диске. В ходе анализа также были зафиксированы загрузка CLR и обход AMSI внутри процесса путем исправления `AmsiScanBuffer`. Финальная полезная нагрузка `Veukuzmw.dll` представляет собой обфусцированную сборку AsyncRAT, загруженную в память. Она поддерживает захват экрана: копирует изображение с основного дисплея в растровое изображение, изменяет его размер, кодирует изображение и подготавливает полученные байты к передаче. RAT также обеспечивает сбор информации о системе, выполнение команд и функции управления. Идентифицированной конечной точкой C2 был адрес `158.51.122.136:4944`, использующий пользовательский протокол на основе TCP.