Zurück 
Zusammenfassung
DCRat (auch bekannt als Dark Crystal RAT) ist ein modularer Remote Access Trojaner (RAT), der als Malware-as-a-Service (MaaS) angeboten wird und es seit 2018 gibt. Es ist in C# geschrieben und verfügt über typische RAT- und Informationsdiebstahl-Funktionen, wie z. B. das Ausführen von Shell-Befehlen, das Protokollieren von Tastenanschlägen, das Exfiltrieren von Dateien und Anmeldeinformationen, um nur einige zu nennen.
DCRat wurde in der Vergangenheit über kompromittierte oder gefälschte Websites, passwortgeschützte Archive, die über beliebte Medien wie Signal, Cobalt Strike Beacons oder E-Mail-Spam mit in Makros eingebetteten Excel- oder PDF-Anhängen bereitgestellt wurden, bereitgestellt.
Bei der Bedrohungssuche entdeckte das Netskope-Team, dass russischsprachige Benutzer mit DCRat angegriffen wurden, das durch HTML-Schmuggel verbreitet wurde, eine Bereitstellungstechnik, die wir bisher nicht bei der Bereitstellung von DCRat beobachtet haben. In diesem Blog werden wir die in dieser Kampagne verwendeten Techniken weiter analysieren.
HTML-Smuggling
HTML-Smuggling ist in erster Linie ein Mechanismus zur Bereitstellung von Nutzlasten. Die Nutzlast kann in den HTML-Code selbst eingebettet oder von einer Remote-Ressource abgerufen werden. Sie wird in der Regel durch eine Kombination aus Komprimierung, Codierung oder Verschlüsselung verschleiert. Auf diese Weise kann es die Netzwerksicherheitsmechanismen leichter umgehen und den Browser des Opfers erreichen.
Sobald der HTML-Code im Browser gerendert wird, wird die bösartige Nutzlast in ihre ursprüngliche Form umgewandelt. Möglicherweise sind Anti-Emulationsmaßnahmen im HTML-Code implementiert, so dass z. B. die Nutzlast nur transformiert wird, wenn sich der Mauszeiger bewegt. Die transformierte Nutzlast wird dann automatisch auf die Festplatte geschrieben, oder sie erfordert eine Benutzerinteraktion in Form von Mausklicks. Der Bedrohungsakteur setzt in der Regel eine Form von Social Engineering ein, um den Benutzer zur Ausführung der Nutzlast zu bewegen.
Diese Technik wurde unter anderem von Azorult, Pikabot und jetzt DCRat genutzt.
Analyse von HTML-Dateien
Der Bedrohungsakteur nutzte gefälschte HTML-Seiten, die sich als TrueConf- und VK Messenger-Medienanwendungen in russischer Sprache ausgaben. Wir wissen derzeit nicht, wie diese HTML-Seiten an das Opfer geliefert wurden.
Zum Zeitpunkt des Schreibens dieses Blogs wurde eine der HTML-Dateien von keinem Modul auf VirusTotal erkannt, während die andere 10 Erkennungen aufwies.
Wenn die HTML-Dateien in einem beliebigen Browser wie Chrome, Firefox und Edge geöffnet wurden, wurde automatisch ein passwortgeschütztes ZIP-Archiv auf die Festplatte heruntergeladen. Auf der HTML-Seite wurde dem Opfer auch das Passwort zum Entschlüsseln der ZIP-Nutzlast zur Verfügung gestellt. In beiden Fällen lautete das Passwort "2024". Dies ist ein klassisches Beispiel für die Umgehung der Erkennung, da Sicherheitstools keinen Zugriff auf das Passwort haben und somit daran gehindert werden, die tatsächliche Nutzlast innerhalb des verschlüsselten ZIP-Archivs zu untersuchen.
Der Schmuggel-Code in den beiden HTML-Dateien wurde aus dem Open-Source-GitHub-Repository TheCyb3rAlpha/BobTheSmuggler abgeleitet. Dies zeigte sich an der Struktur des JavaScript-Codes.
Ablauf der DCRat-Ausführung
Die anfängliche passwortgeschützte ZIP-Payload enthielt ein RarSFX-Archiv mit einem Dateinamen, der darauf hindeutete, dass die Anwendung imitiert wurde, z. B. "trueconf.ru.exe" und "vk.exe".
Dieses RarSFX-Archiv enthielt außerdem eine Batch-Datei und ein weiteres passwortgeschütztes RarSFX-Archiv.
In beiden Fällen lautete das Passwort zum eingebetteten RarSFX-Archiv "riverdD". Die Batch-Datei führte das RarSFX-Archiv aus und gab das Passwort auf der Kommandozeile an.