#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Атакующие использовали фишинговую ссылку для доставки подписанного переименованного Python-рантайма, который эксплуатировал загрузку `._pth` и `sitecustomize` для выполнения кода без скриптов. С его помощью через PowerShell был распакован MSI-файл ScreenConnect, обфусцированный с помощью XOR и Base64, и была предпринята попытка обхода UAC, однако выполнение не удалось, поскольку у жертвы отсутствовали повышенные привилегии.
-----

Атака началась с фишингового электронного письма, содержащего URL, обёрнутый в Microsoft SafeLinks, ведущий на страницу общего сообщения Yahoo Mail. Через тридцать одну секунду после открытия страницы на хосте жертвы был разрешён домен, имитирующий Управление социального обеспечения США, и в папку «Загрузки» пользователя было загружено ZIP-архив. Архив содержал неизменённые, корректно подписанные исполняемые файлы и DLL для CPython 3.12.9, включая переименованный `pythonw.exe`, а также три не-PE-файла, созданные злоумышленниками.

Выполнение зависело от механизма конфигурации путей `._pth` в Python. Архив содержал файлы `python312._pth`, которые добавляли `DocumentResources.dat` в путь модулей Python и включали `import site`. Файл данных представлял собой архив, содержащий модуль `sitecustomize`, который Python автоматически выполнял при запуске. Это позволяло выполнять код без указания пути к скрипту, аргументов `-c`, `-m` или других параметров командной строки; телеметрия процессов фиксировала только путь к переименованному подписанному интерпретатору. Конфигурационный файл можно было обнаружить через Sysmon Event ID 15, который записывал его содержимое, тогда как Event ID 11 фиксировал только создание файла.

Загрузчик создал скрытый файл пакетного обработчика (batch) с атрибутом системного файла и приманку в формате PDF. Файл пакетного обработчика являлся полиглотом, содержащим встроенный пакет Windows Installer, закодированный в base64. PowerShell прочитал файл пакетного обработчика, извлек данные между маркерами-сентинелями, декодировал их из base64, выполнил XOR-декодирование с использованием ключа `0xFA` и записал файл `doc.msi` в временный каталог пользователя. MSI-пакет содержал клиент ConnectWise ScreenConnect версии 25.2.4.9229. Он был запущен с параметром `msiexec /a` для выполнения административного извлечения в каталог, доступный пользователю на запись, что позволило избежать стандартной установки и создания службы.

Атака не увенчалась успехом, когда продукт управления привилегиями на конечной точке заблокировал `fodhelper.exe`, предназначенный для обхода UAC. Все наблюдаемые процессы оставались с уровнем целостности medium в рамках стандартной учётной записи пользователя, в результате чего MSI-файл мог извлекать файлы, но не мог установить службу ScreenConnect или выполнить клиент удалённого доступа. Полезные возможности для обнаружения включают выполнение подписанных интерпретаторов Python рядом с файлами `._pth` в записываемых пользователем каталогах, декодирование PowerShell-нагрузок из пакетных файлов, использование `msiexec /a` с указанием путей к профилю пользователя или временным каталогам, а также наличие бинарных файлов RMM вне утверждённых каталогов установки.