Ques/Help/Req ZenRAT крадет пароли, маскируясь под менеджер паролей Bitwarden

[XakeR]

Аналитики Proofpoint обнаружили новую Windows-малварь ZenRAT, которая распространяется, маскируясь под установочные пакеты опенсорсного менеджера паролей Bitwarden.

По словам исследователей, вредонос распространяется через сайты, имитирующие официальный сайт Bitwarden и использует тайпсквоттинг для обмана потенциальных жертв (например, был обнаружен сайт bitwariden[.]com). Доподлинно неизвестно, как трафик направляется на эти домены. Как правило, в таких случаях речь идет о фишинге, вредоносной рекламе или «отравлении» SEO.

Фальшивый сайт

При этом вредоносный сайт предоставляет вредоносную версию Bitwarden только пользователям Windows, а пользователей других ОС он перенаправляет на клонированную страницу статьи opensource.com об этом менеджере паролей. Кроме того, пользователи Windows, кликающие на ссылки для загрузки версий для Linux или macOS вообще перенаправляются на настоящий сайт Bitwarden (vault.bitwarden.com).

Основной целью ZenRAT, который эксперты характеризуют как «модульный троян удаленного доступа (RAT) с возможностью кражи информации», является сбор информации и учетных данных из браузера жертвы, а также сведений о зараженном хосте.

Внутри фейкового установочного пакета Bitwarden (Bitwarden-Installer-version-2023-7-1.exe), загруженного с сайта злоумышленников, исследователи обнаружили вредоносный исполняемый файл .NET (ApplicationRuntimeMonitor.exe), который и является ZenRAT.

При этом отмечается, что вредоносный установщик Bitwarden для Windows поставляется с сайта madgameis[.]com. Это еще один фейк, имитирующий URL-адрес легитимной браузерной игровой платформы CrazyGames.


После запуска в системе жертвы ZenRAT использует запросы WMI и другие системные инструменты для сбора данных о хосте, включая:

Эти данные передаются на управляющий сервер в ZIP-архиве, который также содержит информацию и учетные данные, которые малварь извлекает из браузера жертвы. При этом перед началом передачи ZenRAT проверяет, что атакованный хост не находится в Беларуси, Кыргызстане, Казахстане, Молдове, России или Украине, а также убеждается, что не запущен на виртуальной машине или в песочнице.

Анализ метаданных вредоносного установщика выявил попытки злоумышленников замаскировать ZenRAT под Speccy от Piriform, бесплатную утилиту Windows для отображения информации об аппаратном и программном обеспечении.

При этом цифровая подпись, использованная для исполняемого файла, не только недействительна, но и гласит, что файл подписан Тимом Коссе, известным немецким ученым, который известен как автор бесплатного FTP-клиента FileZilla.

Пока ZenRAT работает как обычный инфостилер, но аналитики Proofpoint обнаружили, что он спроектирован как модульный вредонос, то есть со временем его возможности могут быть расширены. Пока же никаких дополнительных модулей выявлено не было.

 

[AI G]

ZenRAT - это новый вредоносный программный инструмент, который обнаружили аналитики Proofpoint. Эта малварь распространяется через сайты, которые передает себя как установочные пакеты для популярного менеджера паролей Bitwarden. Злоумышленники используют технику тайпсквоттинга, чтобы привлечь потенциальных жертв и убедить их в скачивании вредоносного файла.

Поддельные сайты, на которых размещены эти вредоносные файлы, имитируют официальный сайт Bitwarden. Они обычно используются для фишинговых атак, размещения вредоносной рекламы или других атак, связанных с SEO.

Вредоносный сайт предлагает только пользователем Windows загружать вредоносную версию Bitwarden, в то время как пользователи других операционных систем перенаправляются на веб-страницу, которая имитирует статью о Bitwarden на opensource.com. Если пользователи Windows кликают на ссылки для загрузки для Linux или macOS, они перенаправляются на оригинальный сайт Bitwarden.

Основная цель ZenRAT - это кража информации и учетных данных пользователей. Он собирает данные и учетные записи из браузера жертвы, а также информацию о зараженном компьютере. Эти данные затем отправляются на удаленный сервер в ZIP-архиве.

ZenRAT также использует системные инструменты, такие как запросы WMI, для сбора данных о компьютере-жертве. Он также проверяет, что атакованный компьютер не находится в определенных странах и не работает в виртуальной машине или песочнице.

Вредоносный установщик ZenRAT для Windows поставляется с сайта madgameis[.]com, который имитирует URL-адрес легитимной браузерной игровой платформы CrazyGames. Злоумышленники пытаются замаскировать ZenRAT под утилиту Speccy от Piriform, бесплатную программу для отображения информации о компьютере.

Цифровая подпись для исполняемого файла ZenRAT недействительна и указывает на Тима Коссе, известного немецкого ученого и автора бесплатного FTP-клиента FileZilla.

На данный момент ZenRAT работает как инфостилер, но аналитики считают, что он спроектирован как модульный вредонос. Это означает, что со временем его возможности могут быть расширены. Пока что дополнительные модули для ZenRAT не были выявлены.