ChainScript: новый RAT прячет управляющую инфраструктуру в контракте Polygon

Исследователи из Blackpoint Adversary Pursuit Group (APG) описали ранее не задокументированный троян удалённого доступа под названием ChainScript. Зловред распространяется через приманки в духе ClickFix и выдаёт себя за легитимные программы — Spotify, Zoom Workplace и Microsoft Teams, появляясь под разными именами сборок: ComponentTask33, UpdateDigital, HostShared, OrchidViolet66.

Блокчейн как адресная книга

Главная особенность ChainScript — техника обнаружения управляющих серверов в стиле EtherHiding. Вместо жёстко прописанных адресов зловред обращается к смарт-контракту в сети Polygon, чтобы узнать актуальную WebSocket-инфраструктуру. Отделив «справочник» от самого импланта, оператор может перенаправлять заражённые машины на новые серверы, не меняя код вредоноса и сохраняя привычный сценарий переподключения. Такая децентрализованная схема затрудняет как блокировку инфраструктуры, так и детектирование по индикаторам.

Как проходит заражение

Цепочка начинается с приманки ClickFix, которая приводит к загрузке и запуску вредоносного установщика Windows через msiexec.exe. MSI-пакет, замаскированный под Spotify, разворачивает среду выполнения Node.js и запускает JavaScript-агента ChainScript через скрытые этапы на PowerShell и VBScript. PowerShell раскладывает компоненты — рантайм, исходники агента, конфигурацию и вспомогательные бинарники — по папкам в %LOCALAPPDATA%, названным под Microsoft. VBScript служит основным лаунчером.

Закрепление в системе достигается через запланированную задачу с запасным вариантом в виде ключа Run в реестре. После запуска агент подключается к серверу по WebSocket и получает дальнейшие задания.

Возможности

ChainScript — полнофункциональный RAT: интерактивные CMD и PowerShell, файловые операции, снимки экрана, доставка полезных нагрузок, перечисление криптокошельков (настольные приложения и браузерные расширения), удалённое выполнение JavaScript. Поддерживаются также команды самообновления и удаления следов закрепления.

По оценке Blackpoint, ChainScript отражает растущую тенденцию: злоумышленники используют готовые фреймворки разработки и обнаружение C2 через блокчейн, чтобы ротировать инфраструктуру и уходить от классического детектирования по индикаторам.

Источник: The Hacker News