„Inżynieria i złożoność tego ataku wskazują, że celem są średnie i duże firmy” – ostrzegają badacze z Fortra Intelligence and Research Experts (FIRE). Nowa kampania phishingowa dostarcza złośliwe oprogramowanie, które nie pozostawia śladów na dysku, a jedynie w pamięci komputera. Ofiarą może paść każdy, kto otworzy załącznik rzekomo będący zamówieniem.
Czym jest bezplikowy malware i dlaczego jest groźny?
Większość programów antywirusowych szuka podejrzanych plików na dysku. Bezplikowy malware działa inaczej – cały kod wykonywany jest wyłącznie w pamięci RAM, co utrudnia jego wykrycie. W opisywanej kampanii atakujący zastosowali aż pięć warstw ukrywania, by ominąć mechanizmy ochrony systemu Windows, w tym AMSI (Antimalware Scan Interface).
Badacze FIRE podkreślają, że loader może posłużyć do wdrożenia różnego rodzaju zagrożeń: od kradzieży haseł i danych logowania, przez ransomware, po narzędzia do zdalnego sterowania. W tym przypadku ostatecznym ładunkiem okazał się Agent Tesla – popularny stealer wykradający dane z przeglądarek i klientów pocztowych.
Jak działa pięciowarstwowy atak?
Infekcja zaczyna się od wiadomości e-mail z załącznikiem w formacie TAR, który rzekomo zawiera zamówienie. Po rozpakowaniu ofiara uruchamia plik JScript. Ten skrypt nie zawiera czytelnego kodu – zamiast tego odtwarza go w locie, używając losowych nazw zmiennych i wstawek maskujących.
W drugiej warstwie ukryta jest komenda PowerShell, która uruchamia się w tle bez wyświetlania okna. Trzecia warstwa deszyfruje właściwy loader przy pomocy cyklicznego klucza o długości 161 616 bajtów. Najbardziej pomysłowa jest czwarta warstwa: PowerShell dzieli kod na 364 364 zmienne środowiskowe, a następnie składa je w całość w pamięci. Dzięki temu tradycyjne skanowanie antywirusowe nie znajduje żadnego podejrzanego ciągu znaków.
Ostatnia, piąta warstwa przechowuje docelowy ładunek .NET w postaci znaków chińskich (CJK). Każdy znak jest konwertowany na bajt przez odjęcie wartości 0x4E00 (19 968). Finalny program nigdy nie trafia na dysk – jest ładowany bezpośrednio z pamięci.
„Loader sam w sobie stanowi główne ryzyko – może być użyty do wdrożenia kradzieży poświadczeń, prekursorów ransomware, narzędzi do zdalnego dostępu lub modułów eksfiltracji danych, minimalizując przy tym tradycyjne artefakty na dysku” – czytamy w raporcie FIRE.
Kto jest celem i jak się chronić?
Kampania została po raz pierwszy zaobserwowana przeciwko dostawcy oprogramowania jako usługi (SaaS) z Ameryki Północnej. Badacze ostrzegają, że podobne ataki mogą być wymierzone w średnie i duże przedsiębiorstwa, ale żaden użytkownik Windows nie jest bezpieczny. Ofiarą może stać się każdy, kto otworzy podejrzany załącznik.
Aby się bronić, warto przestrzegać kilku zasad:
- Nie otwieraj załączników z nieznanych źródeł – nawet jeśli e-mail wygląda jak zamówienie od kontrahenta, zweryfikuj go telefonicznie.
- Regularnie aktualizuj system i oprogramowanie – łatki bezpieczeństwa zmniejszają ryzyko wykorzystania znanych luk.
- Włącz rejestrowanie skryptów PowerShell – administratorzy mogą monitorować nietypowe uruchomienia conhost.exe –headless powershell.exe.
- Stosuj zasadę ograniczonego zaufania – nie nadawaj użytkownikom uprawnień administracyjnych bez potrzeby.
W przypadku firm kluczowe jest wdrożenie zaawansowanych narzędzi EDR (Endpoint Detection and Response), które analizują zachowanie procesów, a nie tylko pliki. Sygnały ostrzegawcze to m.in. skrypt JScript uruchamiający PowerShell w tle oraz gwałtowny wzrost liczby zmiennych środowiskowych.
Co dalej?
Badacze FIRE nie wykluczają, że podobne loadery mogą być oferowane jako usługa (crypter-as-a-service), co znacznie obniży próg wejścia dla cyberprzestępców. Oznacza to, że w najbliższych miesiącach możemy spodziewać się kolejnych kampanii wykorzystujących tę samą technikę. Dlatego już dziś warto sprawdzić, czy nasze zabezpieczenia są gotowe na ataki bezplikowe.
