PKO BP na celowniku przestępców – nowa kampania Remcos RAT

Kampania phishingowa celowana w niemal 25% Polaków? Wystarczy podszyć się pod PKO BP, prowadzące blisko 9 milionów kont. Trafiło do Ciebie potwierdzenie przelewu? Upewnij się, czy to nie Remcos RAT!

Remcos RAT, najpopularniejszy szkodnik w naszej sieci, to tzw. trojan zdalnego dostępu (ang. Remote Access Trojan, RAT). Pozwala atakującemu na zdalne sterowanie i monitorowanie zainfekowanego systemu bez wiedzy użytkownika. Jego funkcje obejmują między innymi:

• dostęp do systemu plików, umożliwiający kopiowanie, przenoszenie, usuwanie lub kradzież danych
• zdalne wykonywanie poleceń i uruchamianie plików na zainfekowanym komputerze
• rejestrowanie naciśnięć klawiszy i zbieranie haseł, co umożliwia kradzież danych uwierzytelniających i innych wrażliwych informacji
• zbieranie zrzutów ekranu i obsługę kamery internetowej, co może służyć do monitorowania aktywności użytkownika i inwazji na prywatność

Dokładną techniczną analizę działania Remcos RAT znajdziesz tutaj.

Remcos regularnie trafia do CERT Orange Polska w formie kolejnych kampanii. Tym razem do polskich internautów dociera mail z tytułowego obrazka, podszywający się pod potwierdzenie przelewu.

Załącznik to faktycznie plik PDF, jednak po jego otwarciu zobaczymy… informację opatrzoną logo PKO BP z linkiem, sugerującym, że po jego kliknięciu otworzymy dwa dokumenty PDF.

W pliku ZIP znajdziemy dropper napisany w języku Visual Basic.

Zawartość skryptu droppera zawierała przypadkowe niepotrzebne komentarze, by utrudnić analizę i odczyt samego pliku i jego funkcji:

Po usunięciu komentarzy sytuacja robi się znacznie bardziej czytelna:

Powyższy kod służy do uruchomienia zakodowanego skryptu Powershell. Przygotowuje on payload przy użyciu manipulacji łańcuchami. Obfuskacja zmiennych i dynamiczna rekonstrukcja komend mają na celu uniknięcie wykrycia przez programy antywirusowe. Poniższy kod to zbudowany payload na podstawie pliku Upstage.vbs:

Komunikacja sieciowa pobierająca złośliwy kod:

Pobrana binarka to Remcos RAT, komunikujący się z serwerem Command&Control jak poniżej:

Instalacja złośliwego payloadu podłącza ofiarę do botnetu CleanRem. Powiązana nazwą z botnetem domena odpowiedzialna za serwer Command&Control pojawiła się w analizach CERT Orange Polska po raz pierwszy.

Indicators of Compromise

Dropper: Upstage.vbs 6f8ceeecb814f3dd8e42ce8b1163d604
Remcos payload: hxxps://www.transparenciaquillota[.]cl/
Command&Control: finalrem.duckdns[.]org:52190