BotHelper RAT показав, чому виявлення окремих файлів недостатнє для захисту

Виявлення підозрілого файлу часто сприймають як фіксацію повної загрози, проте завантажене корисне навантаження зазвичай є лише одним із етапів тривалого ланцюжка дій. Атаки багатоетапного шкідливого програмного забезпечення вимагають збереження контексту між усіма фазами — від доставки та трансформації корисного навантаження до закріплення в системі й керування через C2.

Як діє ланцюжок BotHelper RAT

Команда Point Wild Lat61 Threat Intelligence дослідила кампанію з доставки трояна віддаленого доступу BotHelper RAT, що наочно ілюструє роботу багаторівневих технік ухилення:

• Стейджер і шифрування: зараження починається з невеликого стейджера, який збирає інформацію про хост і запитує зашифрований файл із віддаленого сервера. Надісланий файл не містить виконуваного заголовка, зрозумілих рядків чи очевидної структури.
• Декодування в памʼяті: стейджер розшифровує отримані дані в памʼяті, перетворюючи їх на стандартний виконуваний файл Windows, і записує його в тимчасову директорію користувача під назвою msedge_proxy.exe (маскування під компонент Microsoft Edge).
• Закріплення та приховування: файл запускається без видимого вікна, копіює себе в приховане розташування та налаштовує заплановане завдання для перезапуску кожні 30 хвилин.
• Втручання в захист: шкідливе ПЗ блокує інтерфейс Antimalware Scan Interface (AMSI) у Windows і виходить на звʼязок із командним сервером.

Серед виявлених можливостей BotHelper RAT — створення знімків екрана та трансляція робочого столу жертви, запуск команд оболонки й PowerShell, завантаження додаткових файлів, моніторинг буфера обміну та підвантаження плагінів під час виконання.

Значення контексту під час розслідування

Оцінка окремих індикаторів може вводити в оману: наприклад, процес msedge_proxy.exe на перший погляд здається легітимним. Проте звʼязок процесу із зашифрованим корисним навантаженням у тимчасовій папці, подальшим втручанням в AMSI та мережевою активністю дозволяє побачити реальну загрозу.

Крім того, під час очищення системи просте видалення виконуваного файлу виявиться неефективним, оскільки в системі залишиться заплановане завдання, яке перезапускатиме атаку. Фахівці також наголошують на важливості збереження артефактів під час активності інфраструктури зловмисників, адже після її вимкнення початковий стейджер може більше не надати даних про завантажені файли.