Chuỗi mã độc VEIL#DROP dùng Blogger để phân phối PureLogs Stealer
"Security researchers reported a multi-stage malware campaign, codenamed VEIL#DROP, that uses spear-phishing or drive-by compromise, Blogger-hosted payloads, and PowerShell/Windows Script Host execution to deliver the PureLogs .NET information stealer. The chain employs XOR-obfuscated and dynamically generated URLs, in-memory reflective loading, process termination, and fallback living-off-the-land binaries to evade detection and reduce forensic artifacts."
Tác động cao do chuỗi tấn công kết hợp fileless execution trong bộ nhớ, reflective .NET loading và XOR-obfuscated để né EDR/AV; dữ liệu thu thập từ PureLogs có thể hỗ trợ mở rộng xâm nhập và di chuyển ngang.
Rủi ro vận hành đáng kể vì infostealer có thể dẫn tới rò rỉ dữ liệu và làm tăng chi phí điều tra/khắc phục; chuỗi né tránh giúp kéo dài thời gian phát hiện, ảnh hưởng tới tính liên tục và tuân thủ.
Các nhà nghiên cứu an ninh ghi nhận một chiến dịch mã độc đa giai đoạn, được gắn mã VEIL#DROP, nhằm phân phối PureLogs Stealer (infostealer .NET). Kịch bản tấn công kết hợp spear-phishing hoặc drive-by compromise, sau đó lợi dụng các trang trên Blogger để lưu trữ payload trung gian.
Theo báo cáo, chuỗi xâm nhập bắt đầu từ một tệp JavaScript được ngụy trang như tài liệu (ví dụ transcript.pdf.js). Tệp này được thực thi qua Windows Script Host, khởi chạy PowerShell với bypass execution policy để tải payload tiếp theo từ Blogger (ví dụ htlwub00klocate.blogspot[.]com). Payload PowerShell tạo cảm giác người dùng đang mở nội dung hợp lệ bằng cách tải trang web “giả lập”, trong khi quá trình lây nhiễm diễn ra âm thầm.
Thành phần tải còn thực hiện nhiều kỹ thuật né tránh: XOR-obfuscated và giải mã payload nhúng, tạo URL động bằng cách chèn ngẫu nhiên ký tự “/” để vượt chữ ký tĩnh, runtime mutation/polymorphism để thay đổi chuỗi trong script, thực thi fileless trong bộ nhớ qua reflective code loading, đồng thời cố gắng giảm dấu vết bằng cách kết thúc tiến trình (như wscript.exe) và xóa tệp script. Nếu không thể nạp assembly .NET từ bộ nhớ, kẻ tấn công dùng cơ chế living-off-the-land với các nhị phân ký tin cậy như regsvcs.exe, installutil.exe, msbuild.exe, aspnet_compiler.exe theo mô hình thử tuần tự.
Khuyến nghị: rà soát các sự kiện PowerShell bất thường (đặc biệt có execution policy bypass), giám sát truy cập Blogger/pattern URL động, kiểm tra hành vi fileless và các chuỗi LOLBin, đồng thời tăng cường phát hiện theo hành vi thay vì chỉ dựa vào chữ ký.