Play Ransomware si Maschera come SentinelOne nella Campagna di Ricognizione Grixba

Sommario

Il report delinea un’operazione di ransomware Play che si basa su un’utilità di ricognizione .NET personalizzata chiamata Grixba, distribuita tramite RDP su un server Windows. Grixba si maschera come eseguibile di SentinelOne (GT_NET.exe) e memorizza l’output della scansione in ExportData.db. Lo strumento comunica con un indirizzo IP VPN di PIA e genera un data.zip archivio protetto da password. L’identificazione precoce di questi artefatti può fermare l’attacco prima della fase di ransomware.

Analisi dell’Attacco Ransomware Play

Field Effect MDR ha osservato il binario Grixba rilasciato in C:UsersPublicMusic insieme a data.dat, seguito dall’esecuzione di GT_NET.exe e l’estrazione della chiave XOR per decodificare inf_g.dll. Ulteriori analisi hanno rivelato interruttori da riga di comando per la ricognizione e la creazione di ExportData.db, che contengono dettagli estesi del sistema. Gli investigatori hanno anche recuperato l’elemento di password codificato necessario per sbloccare data.zip.

Mitigazione

Le misure raccomandate includono mantenere backup affidabili, patchare prontamente il software, utilizzare firewall DNS, applicare un uso sicuro delle VPN, utilizzare l’MFA e sfruttare le piattaforme MDR/XDR per rilevare l’attività di ricognizione in anticipo. I team dovrebbero monitorare continuamente gli artefatti distinti e i comportamenti di esecuzione legati a Grixba.

Risposta

Quando vengono rilevati GT_NET.exe, data.dat, inf_g.dll o ExportData.db, i rispondenti devono isolare l’endpoint, catturare evidenze volatili, derivare la password ZIP dal valore incorporato e indagare sui movimenti laterali o sulla preparazione del ransomware. Gli incident handler dovrebbero anche bloccare l’indirizzo IP correlato e rivedere attentamente i log di accesso RDP.

Esecuzione Simulazione

Prerequisito: Il Controllo Pre‑volo di Telemetria & Baseline deve essere passato.

Motivo: Questa sezione dettaglia l’esecuzione precisa della tecnica avversaria (TTP) progettata per attivare la regola di rilevamento. I comandi e la narrazione DEVONO riflettere direttamente i TTP identificati e mirare a generare l’esatta telemetria prevista dalla logica di rilevamento. Esempi astratti o non correlati porteranno a errori di diagnosi.

• Narrazione dell’Attacco & Comandi:

  L’avversario ha acquisito un punto d’appoggio iniziale su una workstation compromessa. Per mappare la rete interna prima del movimento laterale, scaricano il binario di ricognizione Grixba (GT_NET.exe) dal server di comando e controllo ed eseguono con la serie di argomenti che la regola Sigma prende di mira. L’argomento scelto -m:scanall -i:d forza una scoperta completa degli host uniti a dominio, mentre -i:r e -i:f enumerano rispettivamente condivisioni remote e condivisioni di file. Questi argomenti sono tipici del payload predefinito dello strumento e producono stringhe di comandi distintive che la regola di rilevamento cerca.

  Passaggi:

  1. Scarica lo strumento (simulato con una copia da una cartella di test).
  2. Esegui il binario con ciascun set di argomenti mirato per garantire che la regola si attivi in ogni caso.
  3. Lascia che il processo venga eseguito brevemente per permettere al SIEM di acquisire l’evento.

• Script Test di Regressione:

  # Script Test di Regressione – Esecuzione Strumento di Ricognizione Grixba
  # ----------------------------------------------------
  # Assunzioni:
  #   • GT_NET.exe si trova in C:TempGT_NET.exe (sostituire con il percorso effettivo)
  #   • Esecuzione con privilegi sufficienti per invocare il binario
  # ----------------------------------------------------
  
  $exePath = "C:TempGT_NET.exe"
  
  if (-Not (Test-Path $exePath)) {
      Write-Error "GT_NET.exe non trovato in $exePath. Aborto."
      exit 1
  }
  
  # 1. Esegui con -m:scanall -i:d
  Write-Host "`n[+] Avvio di GT_NET.exe con '-m:scanall -i:d' ..."
  Start-Process -FilePath $exePath -ArgumentList "-m:scanall -i:d" -WindowStyle Hidden -PassThru | Out-Null
  Start-Sleep -Seconds 5
  
  # 2. Esegui con -i:r
  Write-Host "`n[+] Avvio di GT_NET.exe con '-i:r' ..."
  Start-Process -FilePath $exePath -ArgumentList "-i:r" -WindowStyle Hidden -PassThru | Out-Null
  Start-Sleep -Seconds 5
  
  # 3. Esegui con -i:f
  Write-Host "`n[+] Avvio di GT_NET.exe con '-i:f' ..."
  Start-Process -FilePath $exePath -ArgumentList "-i:f" -WindowStyle Hidden -PassThru | Out-Null
  Start-Sleep -Seconds 5
  
  Write-Host "`n[+] Esecuzione completa. Verifica rilevamento nel SIEM."

• Comandi di Pulizia:

  # Pulizia – Terminare eventuali processi GT_NET.exe rimanenti e rimuovere il binario
  Get-Process -Name "GT_NET" -ErrorAction SilentlyContinue | Stop-Process -Force
  
  $exePath = "C:TempGT_NET.exe"
  if (Test-Path $exePath) {
      Remove-Item $exePath -Force
      Write-Host "[+] GT_NET.exe rimosso."
  } else {
      Write-Host "[*] GT_NET.exe non presente; niente da eliminare."