Злоумышленники развертывают бэкдор Rozena с помощью уязвимости Follina

Фишинговая кампания с использованием уже исправленной уязвимости Follina для развертки бэкдора Rozena на системах под управлением Windows была обнаружена исследователями Fortinet FortiGuard Labs. Rozena внедряет обратный шелл, который используется для захвата контроля над компьютером жертвы.

Цепочка атак начинается с документа Office, который после клика по себе подключается к внешнему URL сети доставки контента Discord и загружает HTML-файл. ( index.htm )

Загрузка файла index.htm

Затем HTML-файл вызывает инструмент msdt.exe с PowerShell-командой, которая вызывает другой веб-запрос для загрузки и сохранения бэкдора Rozena под названием Word.exe в папке Tasks. Оригинальный файл Office не имеет никакого содержимого, кроме внешней ссылки в oleObject. Чтобы не вызвать подозрений у жертвы, пакетный файл загружает другой Word-документ под названием 1c9c88f811662007.docx с большим количеством фотографий. Чтобы еще сильнее запутать жертву, этот документ сохраняется в каталоге C:\\\users\$env:USERNAME\Downloads с более коротким именем 18562.docx.

После запуска файла Word.exe, он создает процесс PowerShell-команды, которая выполняет свою единственную задачу – внедрение шелл-кода. Этот код запускает обратный шелл на устройстве злоумышленника, который позволяет получить полный контроль над системой жертвы.

Схема цепочки атаки с использованием Follina и Rozena

Дополнительные технические подробности о бэкдоре, включая индикаторы компрометации, содержатся в статье , опубликованной компанией Fortinet.