#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Злоумышленники использовали фишинговые электронные письма с вредоносными вложениями в форматах DOCX/RTF для эксплуатации уязвимости в Microsoft Equation Editor и выполнения поэтапно загружаемых полезных нагрузок на VBScript, PowerShell и Python. Многослойное кодирование, шифрование и загрузка в оперативную память в конечном итоге привели к развертыванию трояна Snake Keylogger, который обеспечивал постоянство присутствия через ключ Run в реестре и похищал учетные данные, нажатия клавиш, снимки экрана, данные из буфера обмена и другую конфиденциальную информацию.
-----

Злоумышленники распространяли фишинговые электронные письма, замаскированные под запросы на подтверждение заказа. Сообщения побуждали получателей открыть вложенный документ DOCX и ответить с требуемыми материалами. В DOCX был встроен вредоносный файл RTF с именем `niza.rtf`, который загружался через элемент `altChunk` формата WordprocessingML. RTF-файл содержал вредоносный файл VBScript `832734.vbs` и объект Equation.3, эксплуатировавший уязвимость в Microsoft Equation Editor. В результате `cmd.exe` выполнял команду `cscript %TMP% 832734.vbs`.

Сгенерированный VBScript создал данные в кодировке Base64 в файле `%APPDATA%\Tempor.zip` и запустил PowerShell в скрытом режиме. Несмотря на то что файл имел расширение ZIP, изначально он не был в формате ZIP. PowerShell декодировал его содержимое и записал полученные данные в ZIP-файл со случайным именем в каталоге `%TEMP%`. Если каталог `%USERPROFILE%\AppData\Roaming\Templates\python312x86` уже существовал, скрипт удалял и повторно создавал его, извлекал содержимое ZIP-архива в этот каталог, удалял временный архив и использовал встроенный `pythonw.exe` для выполнения `Protected.py`.

`Protected.py` декодировал `Excepteur.Dal` и расшифровывал полученный контент с использованием Salsa20, ChaCha20, RC4 и XOR. Расшифрованный полезный груз содержал загрузчик PE и шеллкод. Загрузчик отображался в память, получал адрес шеллкода и запускался. В конечном итоге шеллкод запускал стиллер Snake Keylogger.

Snake Keylogger обеспечил закрепление (Persistence) с помощью ключа Run в реестре и собирал нажатия клавиш, содержимое буфера обмена, скриншоты, пароли Wi-Fi, учетные данные (Credentials) браузера, информацию об учетных записях эл. почты (Email Account), учетные данные (Credentials) FileZilla, токены Discord, публичные IP-адреса и данные о местоположении. Таким образом, цепочка заражения включала использование вооруженного документа, эксплуатацию Equation Editor, поэтапное выполнение скриптов и PowerShell, многоуровневое кодирование и шифрование, загрузку в оперативную память, а также кражу учетных данных (Credentials) и информации.