Бэкдор MadMxShell распространяется через вредоносную рекламу
Недавняя вредоносная рекламная кампания со злоупотреблением Google Ads включает в себя ряд веб-сайтов, напоминающих законный инструмент для сканирования IP-адресов, с целью распространения нового бэкдора под названием MadMxShell. Исследователи из Zscaler ThreatLabz обнаружили, что злоумышленники зарегистрировали множество похожих доменов, используя тактику тайпсквоттинга. Они использовали Google Рекламу для продвижения этих доменов, используя определенные поисковые запросы для привлечения посетителей. В период с ноября 2023 по март 2024 года было создано около 45 доменов, представлявших собой различные программные инструменты, такие как Advanced IP Scanner и ManageEngine. Это первый случай использования такого метода для распространения сложного бэкдора Windows.
Первоначальная атака начинается с вредоносного JavaScript
Жертвы, ищущие эти инструменты, перенаправляются на мошеннические веб-сайты, содержащие код JavaScript, который запускает загрузку вредоносного файла («Advanced-ip-scanner.zip»). Внутри ZIP-файла находятся два файла: «IVIEWERS.dll» и «Advanced-ip-scanner.exe». Последний использует неопубликованную загрузку DLL для инициирования процесса заражения. Затем DLL встраивает шелл-код в EXE-файл через процесс, который распаковывает дополнительные файлы — «OneDrive.exe» и «Secur32.dll». Легитимный файл OneDrive.exe используется для загрузки Secur32.dll и выполнения бэкдора шелл-кода, а также для обеспечения устойчивости и отключения антивирусной программы Microsoft Defender.
Бэкдор MadMxShell поставляется с разнообразным набором инструментов
Бэкдор, названный в честь использования запросов DNS MX для управления и контроля (C2), имеет такие возможности, как сбор системной информации, выполнение команд и управление файлами. Он взаимодействует с сервером C2 («litterbolo[.]com») с помощью туннелирования DNS, используя различные методы обхода мер безопасности, включая несколько этапов боковой загрузки DLL и антидемпинговые методы.
Хотя происхождение и мотивы операторов вредоносного ПО остаются неясными, Zscaler обнаружил на подпольных форумах две связанные с ними учетные записи, созданные с использованием адреса электронной почты wh8842480@gmail[.]com. На этих форумах обсуждались вопросы настройки пороговых учетных записей Google AdSense, что намекает на заинтересованность злоумышленников в длительной кампании вредоносной рекламы.
