Nowa kampania zagraża Windows: MSI-JPEG i PowerShell bez plików

„To technika staje się coraz bardziej popularna” – zauważa Xavier Mertens, starszy analityk SANS Internet Storm Center, opisując najnowszą kampanię wymierzoną w użytkowników Windows. Atak rozpoczyna się od pozornie nieszkodliwej wiadomości e-mail z linkiem do WeTransfer, za którym kryje się złośliwy plik JavaScript. Następnie, bez zapisywania plików na dysku, uruchamiany jest zaawansowany łańcuch infekcji wykorzystujący PowerShell, WMI oraz usługi w chmurze Cloudflare.

Incydent ten dotyczy przede wszystkim administratorów systemów Windows oraz działów IT, które zarządzają infrastrukturą endpointową. Ofiarą może paść każdy, kto otworzy załącznik z rzekomym „potwierdzeniem przelewu”, jednak w praktyce kampania wydaje się celować w firmy i instytucje, gdzie wiadomości o przelewach są codziennością.

Łańcuch ataku – od JavaScript do ukrytego DLL

Według raportu SANS ISC, infekcja startuje od pliku o nazwie Remittance Advice.js. Skrypt o rozmiarze ponad 2 MB zawiera dużą ilość „śmieciowego” kodu, który ma zmylić analizę. W środku znajduje się właściwy ładunek – polecenie PowerShell, które zapisuje zakodowany payload do zmiennej środowiskowej INTERNAL_DB_CACHE. Do kodowania użyto ROT13 – starej, ale wciąż skutecznej metody zaciemniania.

Odfiltrowane polecenie PowerShell pobiera z zewnętrznego serwera plik JPEG z motywem graficznym MSI. Wewnątrz obrazka, w formatowanych znacznikami IN- i -in1, ukryty jest kod Base64, w którym wszystkie litery „A” zastąpiono znakiem „#”. Po odwróceniu tej podmianki i dekodowaniu otrzymujemy bibliotekę .NET DLL – zmodyfikowaną wersję legalnego Microsoft.Win32.TaskScheduler. Co istotne, ani skrypt, ani DLL nie są zapisywane tradycyjnie na dysku, co utrudnia działanie klasycznym programom antywirusowym.

Wykorzystanie chmury do przechowywania payloadów

„Threat-actor lubi korzystać z dobrze znanych usług do przechowywania swoich payloadów”.

Atakujący wykorzystują legalne domeny workers.dev i r2.dev – obie należą do Cloudflare. Pierwsza służy do hostowania pliku JPEG z motywem MSI, druga – do przechowywania drugiego obrazka nazwanego snake.png, który zawiera kolejny payload ukryty za pomocą steganografii. Użycie zaufanych, globalnie rozproszonych serwisów utrudnia blokowanie adresów IP i domen przez systemy bezpieczeństwa.

Mechanizm wykonania jest w pełni bezplikowy: PowerShell łączy się z WMI, by uruchomić proces w ukrytym oknie, a następnie ładuje bibliotekę DLL bezpośrednio z pamięci. To klasyczny przykład ataku living-off-the-land, w którym atakujący opierają się na narzędziach wbudowanych w system, minimalizując ślad w dziennikach.

Co to oznacza dla firm i administratorów?

Kampania pokazuje, że tradycyjna ochrona antywirusowa oparta na sygnaturach plików jest niewystarczająca. Nawet zaawansowane skanery mogą nie wykryć payloadu ukrytego w obrazku, jeśli nie analizują steganografii. Ponadto, wykorzystanie ROT13 i podmiany znaków w Base64 wymaga od mechanizmów detekcji umiejętności odwracania prostych transformacji.

Administratorzy powinni zwrócić szczególną uwagę na monitoring wykonywania PowerShell oraz uruchamiania procesów przez WMI. Włączenie rejestrowania bloku skryptów PowerShell (Script Block Logging) i wysyłanie logów do SIEM może pomóc w wykryciu podobnych łańcuchów ataku. Dodatkowo warto ograniczyć możliwość uruchamiania PowerShell z ukrytym oknem lub z pominięciem polityki wykonania.

W przypadku ochrony przed steganografią pomocne może być stosowanie narzędzi EDR, które analizują zachowanie procesów, a nie tylko zawartość plików. Segmentacja sieciowa i dostęp z najmniejszymi uprawnieniami to kolejne warstwy obrony.

Obecny stan wiedzy i dalsze kroki

W chwili publikacji raportu badacz SANS ISC kontynuował analizę biblioteki .NET, więc szczegóły techniczne mogą się zmienić. Nie wiadomo, jaka jest skala kampanii ani ile firm zostało dotkniętych. Nie ma też informacji o tym, jakie ostateczne obciążenie (np. ransomware, keylogger) jest dostarczane – analiza trwa.

Dla administratorów Windows najważniejsze jest przyjęcie założenia, że podobne ataki będą się pojawiać coraz częściej. Warto regularnie testować mechanizmy detekcji pod kątem scenariuszy bezplikowych i wykorzystania steganografii. Aktualizacja systemów, w tym majowe łatki bezpieczeństwa od Microsoft, choć nie eliminuje tej konkretnej luki, zmniejsza ogólną powierzchnię ataku.

Zalecenie dla użytkowników końcowych: zachować ostrożność wobec niespodziewanych wiadomości e-mail z linkami do WeTransfer, szczególnie jeśli pochodzą z nieznanych adresów. W firmach warto rozważyć blokowanie skryptów JavaScript przychodzących pocztą oraz ograniczenie dostępu do zewnętrznych serwisów wymiany plików.

Sprawa pokazuje, że walka z cyberzagrożeniami wymaga stałej czujności i adaptacji do zmieniających się technik atakujących. Obserwowanie publikacji takich jak SANS ISC pozwala być o krok przed przeciwnikiem.