#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
В отчёте описана многоэтапная бесфайловая атака с использованием PowerShell, в ходе которой для хранения данных применялись разделы реестра, для C2-связи — DNS TXT и DNS-over-HTTPS, а для сокрытия полезной нагрузки — файлы WAV и PNG. Атакующие ослабили средства контроля PowerShell и Defender, выполняли команды удалённо, обеспечили закрепление (persistence) с помощью запланированных задач и подписок WMI, а в конечном счёте развернули майнер криптовалюты XMRig с ядровым драйвером, сохранив при этом доступ к C2-инфраструктуре.
-----

Инфекция началась с обфусцированного скрипта PowerShell, хранившегося в реестре Windows по пути `HKLM:\Software\uf42a9660377\vstdfehzr`. Скрипт извлекал и декодировал двоичные данные реестра во время выполнения, что позволяло избежать необходимости в стандартном файле `.ps1`. Он запрашивал записи DNS TXT, связанные с доменом `sslvalidcert.com`, который впоследствии был заменён на `txtcdn.net`, преобразуя ответы, закодированные в десятичной системе счисления, в данные ASCII, используемые для восстановления полезной нагрузки. Полученный код извлекал дополнительные инструкции PowerShell посредством канала управления (C2) и извлекал контейнер полезной нагрузки на основе PNG.

Последующий PowerShell-этап загрузил ZIP-архив и извлек файлы в каталог Public Music. Файлы WAV в архиве служили контейнерами для полезной нагрузки, а не содержали аудиоданные. Файл `Atsg.wav` содержал закодированный PowerShell-скрипт, который изменял политику выполнения PowerShell на Bypass, ослаблял средства безопасности и телеметрии, добавлял широкие исключения для Microsoft Defender, отключал выбранные службы и запланированные задачи, связанные с Defender, и удалял историю PowerShell. Кроме того, скрипт извлекал сборку .NET из данных WAV.

ВПО поддерживала канал C2 с помощью запросов DNS-over-HTTPS к TXT-записям, связанным с доменом `httptls.org`, через Google DNS. Ответ идентифицировал сервер C2, который взаимодействовал посредством HTTP- или HTTPS-запросов POST с использованием заголовка `X-HWID` для идентификации хоста. Периодические сообщения `Info` и `pingo` поддерживали соединение. Команды `ps1`, выдаваемые сервером, выполнялись асинхронно, а результаты возвращались с помощью ответов `OK` или `ERR`.

На следующем этапе был загружен файл `Realtek HD Audio.wav`, из которого .NET-DLL была извлечена непосредственно в оперативную память, что позволило избежать хранения исполняемых файлов на диске. Данная DLL дополнительно изменяла настройки PowerShell и Defender, вносила изменения в профиль PowerShell, отключала механизмы, связанные с телеметрией, и удаляла артефакты истории. Отдельный этап `Tmav.wav` обеспечивал дополнительную логику PowerShell и проверял наличие файла `mav.wav` в каталоге Public Music.

Итоговый восстановленный исполняемый файл .NET представлял собой майнер криптовалют, связанный с XMRig. Он использовал встроенные и удалённо предоставляемые конфигурации майнинга и развертывал `WinRing0.sys` — подписанный драйвер ядра, применяемый для доступа к MSR и оптимизации алгоритма RandomX. Закрепление в системе осуществлялось с помощью запланированных задач и постоянных подписок на события WMI. Ранее установленный канал C2 продолжал функционировать независимо от процесса майнинга, что позволяло выполнять дальнейшие команды или доставлять полезные нагрузки после развертывания майнера.