BatCloak Obfuscation Engine bruges til at sprede malware uopdaget
Siden september 2022 er en malware-obfuskationsmotor kendt som BatCloak blevet brugt til at distribuere forskellige stammer af malware uden at blive opdaget af antivirussystemer. Trend Micro-forskere har udtalt, at disse prøver giver trusselsaktører mulighed for ubesværet at indlæse adskillige malware-familier og udnyttelser ved hjælp af meget slørede batchfiler. Det er bemærkelsesværdigt, at cirka 79,6% af de 784 opdagede artefakter er forblevet uopdaget af alle sikkerhedsløsninger, hvilket indikerer BatCloaks evne til at omgå traditionelle detektionsmetoder.
Batch-filer, der bruges til at sløre nyttelast
BatCloak-motoren spiller en afgørende rolle i et let tilgængeligt batchfilbyggerværktøj kaldet Jlaive. Jlaive tilbyder funktioner såsom at omgå Antimalware Scan Interface (AMSI), komprimering og kryptering af den primære nyttelast for at øge sikkerhedsunddragelse. Selvom open source-værktøjet, som oprindeligt blev delt på GitHub og GitLab i september 2022 af en udvikler ved navn ch2sh, er blevet fjernet, blev det annonceret som en "EXE til BAT-kryptering". Det er siden blevet klonet, modificeret og overført til andre programmeringssprog som Rust.
Den endelige nyttelast er skjult ved hjælp af tre loader-lag: en C#-loader, en PowerShell-loader og en batch-loader. Batch-indlæseren tjener som udgangspunkt for at afkode og udpakke hvert trin, hvilket i sidste ende udløser den skjulte malware. I batch-indlæseren kan der findes en uklar PowerShell-indlæser og en krypteret C#-stub-binær. Forskerne Peter Girnus og Aliakbar Zahravi forklarede, at Jlaive bruger BatCloak som en filobfuskationsmotor til at skjule batchindlæseren og gemme den på disken.
BatCloak opdateres løbende
BatCloak har gennemgået adskillige opdateringer og tilpasninger siden dens optræden i naturen, hvor den seneste version er ScrubCrypt. Fortinet FortiGuard Labs fremhævede ScrubCrypt i forbindelse med en kryptojacking-kampagne orkestreret af 8220 Banden. Især ScrubCrypt er designet til at være kompatibel med forskellige velkendte malware-familier, herunder Amadey, AsyncRAT, DarkCrystal RAT, Pure Miner, Quasar RAT, RedLine Stealer, Remcos RAT, SmokeLoader, VenomRAT og Warzone RAT.
