🖥 MaxPatrol EDR обнаруживает новый троян RADX

📨 В конце прошлого года исследователи безопасности обнаружили фишинговую кампанию хакерской группировки, целью которой стали российские организации. Для атак использовался троян удаленного доступа RADX, который ранее специалистам не встречался.

Затем обнаружилось, что этот вредонос продается в даркнете, причем злоумышленники позиционировали его как «самый дешевый RAT»: он продавался по подписке за 175 рублей в месяц. Все подробности о нем вы можете узнать в материале SecurityLab.ru.

👀 А мы в свою очередь решили протестировать RADX с помощью нашего нового продукта для выявления киберугроз на конечных точках и реагирования на них MaxPatrol EDR. Отметим сразу — MaxPatrol EDR легко находит этот троян и может остановить. Смотрите, как это происходит:

1️⃣ Атака начинается с фишингового письма с архивом во вложении. Внутри этого архива — файл «скрин оплаты за сервер.pdf.exe».

2️⃣ Статический анализ показывает, что это 32-битное консольное приложение, написанное на C++. Файл имеет невалидную цифровую подпись.

3️⃣ Процесс запускает легитимное приложение AppLaunch.exe (есть на компьютерах, где установлен .NET) и внедряет в него вредоносный код через WriteProcessMemory и SetThreadContext.

4️⃣ Следующая стадия выполняется в контексте легитимного AppLaunch.exe. Код устанавливает соединение с C2 (командным центром злоумышленников) и ожидает дальнейших команд. Он может красть пользовательские данные, удаленно выполнять команды, получать информацию о компьютере жертвы, скрытно создавать скриншоты, а закрепляется он в системе с помощью task scheduler (планировщика заданий).

5️⃣ При запуске файла выполняется PowerShell-скрипт, добавляющий AppLaunch.exe в исключения Windows Defender (антивируса от Microsoft), и устанавливается соединение с C2.

💡 Пользователям MaxPatrol EDR для успешного реагирования необходимо включить модули:

• «Завершение процессов»,
• «Изоляция узлов».

@Positive_Technologies
#MaxPatrolEDR