1. De infectie begint wanneer een gebruiker een batchbestand opent met de naam "Right-click to open Invoice Details.bat", vaak geleverd via een e-mailbijlage, een kwaadaardige link, een geïnfecteerde download of een berichtendienst.
2. Nadat het batchbestand is geopend, start het een verborgen PowerShell-proces. Dit proces deactiveert het normale profiel en begint met het samenstellen van code. De payload wordt gedecodeerd met behulp van Base64-tekst, ingevoegde ongeldige tekens en XOR-bewerkingen.
3. Vervolgens wordt een hernoemde, legitieme AutoIt-interpreter samen met het loader-script "kojuyn.ini" en een niet-geëncrypteerd bestand zonder extensie in een willekeurig benoemde map binnen de tijdelijke bestanden van de gebruiker geplaatst.
4. Om ervoor te zorgen dat de kwaadaardige componenten bij elke systeemstart opnieuw worden geladen, wordt het bestand "h73la8.bat" in de Startup-map van de gebruiker geplaatst. Dit gebeurt zonder dat hiervoor administratorrechten of een vermelding in de Registry run key nodig zijn.
5. De AutoIt-interpreter, die binnen een vertrouwd systeemproces draait, wordt gebruikt om de Remote Access Trojan (RAT) AsyncRAT te verbergen.
6. De loader-script ontsleutelt de payload uitsluitend in het geheugen.
7. Vervolgens wordt het 32-bit Windows-onderdeel Character Map (charmap.exe) onzichtbaar gestart. Dit legitieme, door Microsoft ondertekende programma wordt gebruikt om geheugen toe te wijzen, de ontgrendelde payload erin te kopiëren en een nieuwe thread te creëren om deze uit te voeren.
8. Dit proces resulteert in een kwaadaardig .NET-programma dat is geïnjecteerd in charmap.exe, zonder dat er een bijbehorend bestand op de schijf achterblijft. Dit maakt het moeilijker te detecteren voor beveiligingssoftware die alleen naar bestandsnamen kijkt.
9. Na de injectie biedt de ontgrendelde eind-DLL, "Veukuzmw.dll", de bekende functionaliteit voor externe toegang van AsyncRAT.
10. De kwaadaardige code bevat functionaliteit om schermafbeeldingen van het primaire beeldscherm te maken en deze voor te bereiden voor opslag of overdracht naar de command-and-control server.
11. De analyse toonde aan dat de Antimalware Scan Interface (AMSI) van Windows, die bedoeld is om scripts en code te scannen, is gepatcht binnen het geïnfecteerde proces. Hierdoor wordt de zichtbaarheid van latere script- en assembly-activiteiten verminderd.
12. De aanvalsketen, die sociale manipulatie, ingebouwde scripts en legitieme Windows-programma's combineert, is ontworpen om een aanvaller externe controle te geven terwijl de activiteiten moeilijk te detecteren zijn.
13. Omdat charmap.exe normaal gesproken een eenvoudige utility is en zelden verborgen wordt gestart vanuit een AutoIt-proces of ongebruikelijke uitgaande verbindingen maakt, kan de afwijkende werking ervan een detectiesignaal zijn.
14. Legitieme digitale handtekeningen of de schijnbare validiteit van een bestand bieden geen garantie voor veiligheid, zoals aangetoond door vergelijkbare eerdere malwarecampagnes die AutoIt gebruikten.
15. Het correleren van activiteiten zoals verborgen PowerShell-processen die bestanden schrijven naar Temp en Startup, het starten van AutoIt-executables met script-achtige bestanden, en onverwachte starts van charmap.exe, kan de aanvalsketen blootleggen.
16. Beveiligingsmedewerkers worden aangeraden om dergelijke activiteiten met hoge prioriteit te behandelen. Het monitoren van onverwachte lanceringen van charmap.exe, de creatie van externe threads of ongebruikelijke netwerkverbindingen kan helpen de aanval te identificeren.
17. Beveiligingsteams kunnen lessen trekken uit deze AsyncRAT-technieken om te zoeken naar verborgen scripting, persistentie mechanismen bij het opstarten en vertrouwde processen die zich buiten hun normale gedragspatronen manifesteren.
18. Gebruikers wordt aangeraden voorzichtig te zijn met onverwachte factuurbestanden en het vermijden van het openen van bijlagen, links, gekraakte software of gedeelde documenten van onverifieerbare bronnen.