DarkGate hinter den Kulissen

Zusammenfassung

DarkGate ist ein auf Delphi basierender Loader, der als Malware-as-a-Service auf kriminellen Märkten verkauft wird. Er umfasst vollständige RAT-Funktionalität, dynamische API-Auflösung und mehrschichtige Ausweichtechniken wie benutzerdefinierte Base64-Zeichensätze, Union-API–Stil syscall Laden und APC-Injektion. Das Tool, das dem Verkäufer „RastaFarEye“ zugeordnet wird, wurde von Akteuren wie TA577 und Ducktail übernommen. Es kommuniziert mit C2 über HTTP mit verschleierten Nutzlasten und kann Remote-Desktop-Utilities bereitstellen, Discord-Tokens stehlen und eine interaktive Reverse-Shell ausführen.

DarkGate Malware Analyse

Die Veröffentlichung bietet eine ausführliche Rückentwicklung des DarkGate-Executables und erklärt dessen maßgeschneiderte Konfigurationsverschlüsselung, XOR-gesteuerte BotID-Erzeugung und verschlüsselte Protokollierung. Es katalogisiert die Persistenztechniken des Loaders, Wege zur Privilegieneskalation, Token-Diebstahl-Workflows und den Missbrauch legitimer Binärdateien wie PsExec und Extexport für DLL-Sideloaing. Der Beitrag dokumentiert weiter C2-Kommunikationsmuster, Standard-hVNC-Anmeldedaten und die typischen genutzten HTTP-Ports (2351 und 9999).

Abschwächung

Blue Teams sollten auf die Erstellung der referenzierten Dateien und Registry-Run-Einträge achten, die Standard-hVNC-Anmeldedaten sofort ungültig machen oder blockieren und den Einsatz von PsExec und Extexport für nicht genehmigtes DLL-Loading erkennen. Verhaltensanalysen sollten die Union-API-syscall-Nutzung, APC-Injektion über NtTestAlert und Parent-PID-Spoofing abdecken. Netzwerkverteidigungen können ungewöhnliche HTTP-Ports erkennen und versuchen, die benutzerdefinierten Base64-Alphabete von DarkGate zu dekodieren, um C2-Verkehr aufzudecken.

Reaktion

Sobald DarkGate-Aktivität bestätigt ist, sollte der betroffene Endpunkt isoliert, die dokumentierten Artefakte gesammelt, schädliche Prozesse beendet und alle Persistenzstellen bereinigt werden. Alle freigelegten Anmeldedaten sollten geändert und bekannte C2-Domains sowie IP-Bereiche blockiert werden. Eine gründliche forensische Überprüfung sollte alle sekundären Nutzlasten identifizieren und sicherstellen, dass alle über Extexport oder verwandte Loader eingeführten DLLs eradiziert wurden.

Simulation Ausführung

Voraussetzung: Der Telemetrie- & Baselinedurchlauf muss bestanden sein.

• Angriffserzählung & Befehle:
  Der simulierte Angreifer hat bereits den Endpunkt infiltriert und versucht, dauerhaften RDP-Zugang zu etablieren. Zuerst sammeln sie Anmeldeinformationen, indem sie diese mit cmdkey speichern, dann verwenden sie psexec.exe, um sich seitlich zu bewegen, und schließlich eine PowerShell-Nutzlast zu starten, die einen Keylogger-Stub dropt. Jeder Schritt ist darauf ausgelegt, dass genau die Prozess-Erstellungsereignisse generiert werden, die die Erkennungsregel überwacht.

  1. Anmeldeinformationsaufzeichnung (T1552.001) – Erstellen Sie einen gestalteten Anmeldeeintrag, der das Muster der Regel selection_cmdkey trifft.
  2. Seitliche Bewegung (T1219) – Führen Sie psexec.exe gegen einen Remote-Host aus, indem ein Befehl aufgerufen wird, der eine neue PowerShell-Sitzung erzeugt.
  3. PowerShell-Ausführung (T1059.001) – Führen Sie einen PowerShell-Befehl aus, der ein bösartiges Skript lädt (hier mit einem harmlosen, Base64-kodierten Befehl simuliert).
  4. Keylogger-Bereitstellung (T1056.001) – Kompilieren und führen Sie eine kleine C-Binärdatei aus, die GetAsyncKeyState aufruft, was zu einem API -Feldvergleich führt.

• Regressionstestskript:

  # DarkGate-Simulationsskript – PowerShell
  # --------------------------------------------------
  # 1. Cmdkey-Anmeldeeinstieg (entspricht dem Erkennungsmuster)
  $generic = '""'                         # Leeres generisches wie bei DarkGate verwendet
  $user    = 'SafeMode'                   # Benutzername, den die Regel erwartet
  $pass    = 'darkgatepassword0'          # Passwort, das die Regel erwartet
  cmd.exe /c cmdkey /generic:$generic /user:$user /pass:$pass
  
  # 2. PsExec seitliche Bewegung (Binärdatei muss im PATH existieren oder vollständigen Pfad angeben)
  $remoteHost = '10.0.0.5'
  $psexecPath = "$env:SystemRootSystem32psexec.exe"
  if (Test-Path $psexecPath) {
      & $psexecPath \$remoteHost -accepteula cmd /c "whoami"
  } else {
      Write-Host "PsExec nicht gefunden bei $psexecPath – überspringe diesen Schritt."
  }
  
  # 3. PowerShell-Ausführung (Base64-kodierter harmloser Befehl)
  $psCommand = 'Write-Output "PowerShell-Nutzlast ausgeführt"'
  $encoded = [Convert]::ToBase64String([Text.Encoding]::Unicode.GetBytes($psCommand))
  powershell.exe -EncodedCommand $encoded
  
  # 4. Keylogger-Stummel-Kompilierung & Ausführung
  $cSource = @"
  #include <windows.h>
  int main() {
      // Einfacher Aufruf von GetAsyncKeyState, um den API-Vergleich zu erfüllen
      GetAsyncKeyState(VK_RETURN);
      return 0;
  }
  "@
  $srcPath = "$env:TEMPkeylog_stub.c"
  $exePath = "$env:TEMPkeylog_stub.exe"
  $cSource | Set-Content -Path $srcPath -Encoding ASCII
  # Kompilieren mit Visual C++ (cl.exe muss im PATH sein)
  cl.exe /nologo /O2 /Fe:$exePath $srcPath
  if (Test-Path $exePath) {
      & $exePath
  }

• Bereinigungsanweisungen:

  # Entfernen Sie den Anmeldeeinstieg
  cmd.exe /c cmdkey /delete:$generic
  
  # Temporäre Dateien löschen
  Remove-Item -Force -ErrorAction SilentlyContinue "$env:TEMPkeylog_stub.c"
  Remove-Item -Force -ErrorAction SilentlyContinue "$env:TEMPkeylog_stub.exe"
  
  # Optional: Beenden Sie alle verirrten psexec- oder powershell-Prozesse, die von dem Skript gestartet wurden
  Get-Process -Name psexec, powerShell -ErrorAction SilentlyContinue | Stop-Process -Force