Исследователи кибербезопасности из Check Point обнаружили растущую тенденцию использования хакерами коммерческих упаковочных инструментов, таких как BoxedApp, для сокрытия и распространения различных штаммов вредоносного ПО. За последний год был отмечен значительный всплеск злоупотреблений продуктами BoxedApp, особенно в атаках на финансовые учреждения и правительственные организации.
BoxedApp предлагает ряд коммерческих упаковщиков, включая BoxedApp Packer и BxILMerge, которые предоставляют такие расширенные возможности, как виртуальное хранилище (виртуальная файловая система, виртуальный реестр), виртуальные процессы и универсальная система инструментов (WIN/NT API hooking). Хотя эти инструменты предназначены для легитимных целей, угрожающие субъекты используют их для упаковки вредоносной полезной нагрузки, обхода обнаружения и усиления аналитических усилий.
Согласно результатам исследования, основными продуктами BoxedApp, подвергшимися злоупотреблению, являются BoxedApp Packer и BxILMerge, построенные на базе BoxedApp SDK. Эти продукты предоставляют угрозам доступ к самым передовым функциям SDK, позволяя им создавать собственные уникальные упаковщики, использующие самые современные возможности и при этом достаточно разнообразные, чтобы избежать статического обнаружения.
Преимущества использования передовых, уникальных функций, предлагаемых BoxedApp SDK, перевешивают недостатки использования известных коммерческих упаковщиков. Среди наиболее заметных функций и возможностей - виртуальная файловая система, виртуальный реестр, виртуальные процессы (PE Injection), WIN/NT API hooking SDK, общая упаковка (уничтожение оригинальных PE Imports, сжатие и т.д.), создание однофайловых пакетов, а также обеспечение того, что все операции ввода-вывода в виртуальное хранилище остаются в памяти без сброса файлов на диск.
Хотя продукты BoxedApp доступны уже несколько лет, злоупотребление ими в злонамеренных целях значительно участилось в последний год, причем до сих пор никто не признавал их связи с BoxedApp. Хотя использование коммерческих упаковщиков имеет как плюсы, так и минусы для злоумышленников, расширенные возможности, которые они предоставляют, похоже, перевешивают потенциальные недостатки.
Плюсы использования продуктов BoxedApp для распространения вредоносного ПО следующие:
К плюсам относятся:
Несмотря на высокий процент ложных срабатываний, который может привести к расхождениям и спровоцировать обнаружение даже не вредоносных приложений, встроенный Windows Defender и другие высококлассные антивирусные решения, как правило, остаются незатронутыми.
Исследователи проанализировали около 1200 образцов BoxedApp, поступивших на VirusTotal за последние три года и успешно обработанных VT-песочницами. Настораживает тот факт, что 25 % этих образцов были определены как вредоносные на основании их поведения. Хронология отправки этих вредоносных образцов на VirusTotal показывает растущую тенденцию злоупотребления BoxedApp для развертывания вредоносных программ.
Среди наиболее часто используемых семейств вредоносных программ были RAT (троянцы удаленного доступа), такие как QuasarRAT, NanoCore, NjRAT, Neshta, AsyncRAT и LodaRAT, а также крадущие программы, такие как RevengeRAT, AgentTesla, RedLine и Remcos. Кроме того, были обнаружены экземпляры программ-вымогателей, таких как LockBit.
Исследователи провели глубокий анализ внутренностей BoxedApp, сосредоточившись на бинарных структурах, упакованных различными продуктами. Этот анализ позволил понять, как распаковать виртуальное хранилище и восстановить основные вредоносные двоичные файлы. Также были предоставлены сигнатуры Yara, позволяющие статически определить используемый упаковщик и отличить конкретный продукт.
Генератор случайных паролей Roboform был взломан, чтобы вернуть биткоины на сумму более 3 миллионов долларов. После потери пароля биткоины были недоступны в течение 11 лет.
Агентство транспорта и связи Финляндии (Traficom) предупреждает о продолжающейся кампании по взлому банковских счетов через Android.
Подписавшие письмо утверждают, что эти методы в корне ошибочны и "полностью подрывают безопасность коммуникаций и систем".