Analyse des mutmaßlichen Schadprogramms im Zusammenhang mit APT-Q-27, das auf Finanzinstitute abzielt

Zusammenfassung

Die Kampagne umfasst eine mehrstufige Infektionskette, die mit einem Phishing-Link beginnt, der als Bild-Download getarnt ist und tatsächlich einen .pif -Dropper liefert. Die anfängliche Nutzlast ist ein stark verschleiertes .NET-Programm, das mit einem legitimen Zertifikat signiert wurde, das später widerrufen wurde, wodurch es in der Anfangsphase an reaktionsbasierter Kontrolle vorbeikommen konnte. Nach der Ausführung stellt es Komponenten in einem Verzeichnis bereit, das einem Windows-Update-Cache ähnelt, und wechselt dann zur ausschließlichen Ausführung im Speicher, um Spuren auf der Festplatte zu minimieren. Das Endergebnis ist eine modulare Hintertür, die Tarnung und Ausweichmanöver priorisiert, den Zugriff über dienstbasierte Persistenz aufrechterhält und versucht, gängige Signaturerkennungen zu vermeiden.

Untersuchung

CyStack-Analysten verfolgten die ursprüngliche Bereitstellungs-URL zu einer Infrastruktur, die auf storage.googleapis.com gehostet wird, und stellten vorbereitete Artefakte – updat.exe, crashreport.dll und updat.log – aus einem versteckten cache-ähnlichen Ordner wieder her. Der Dropper richtet grundlegende Persistenz über einen Run-Registrierungswert ein und registriert anschließend einen Windows-Dienst namens Windows Eventn, um eine langfristige Ausführung zu gewährleisten. Die Hintertür implementiert Anti-Analyse-Überprüfungen, versucht Privilegienerhöhung und ändert UAC-bezogene Einstellungen, um Benutzereingaben zu minimieren. Steuerverkehr wurde über Port 15628 beobachtet, und Ermittler extrahierten einsatzbereite Indikatoren, darunter Dateinamen, Registrierungspfade, Dienstkennungen und markante User-Agent-Strings.

Abmilderung

Setzen Sie strenge Download-Kontrollen ein, um .pif-Dateien zu blockieren, und erzwingen Sie die Validierung des Inhaltstyps, damit „Bild“-Links nicht stillschweigend ausführbare Dateien liefern können. Verstärken Sie die Code-Signatur-Durchsetzung, indem Sie den Widerrufsstatus und die Zertifikatstempel während der Ausführung überprüfen. Überwachen Sie auf versteckte „Windows Update-ähnliche“ Cache-Verzeichnisse und alarmieren Sie über unerwartete Hinzufügungen von Run-Schlüsseln oder verdächtige Ereignisse bei der Dienst-Erstellung. Sichern Sie die UAC-Richtlinieneinstellungen und überprüfen Sie regelmäßig Änderungen an relevanten Registrierungsrichtlinienschlüsseln.

Antwort

Wenn Aktivität festgestellt wird, isolieren Sie den Endpunkt sofort und sammeln forensische Artefakte (Speicherabbild, Registrierungshives und Dateisystembeweise), bevor Sie mit der Behebung beginnen. Beenden und entfernen Sie den bösartigen Windows Eventn-Dienst und durchsuchen Sie die Umgebung nach den extrahierten Indikatoren – insbesondere versteckte Vorbereitungsdateien, potenzielle Mutex-Nutzung und jegliche DLL-Sideloading-Spuren. Setzen Sie potenziell exponierte Anmeldeinformationen zurück, überprüfen Sie Aktivitäten privilegierter Konten auf Missbrauch und aktualisieren Sie Erkennungen in EDR/SIEM mit den extrahierten IOCs.

Simulationsausführung

Voraussetzung: Der Telemetrie- & Basislinien-Pre‑Flug-Check muss bestanden haben.

Begründung: Dieser Abschnitt beschreibt die genaue Ausführung der Angreifertechnik (TTP), die dazu konzipiert ist, die Erkennungsregel auszulösen. Die Befehle und Narrative MÜSSEN direkt die identifizierten TTPs widerspiegeln und darauf abzielen, genau die Telemetrie zu erzeugen, die von der Erkennungslogik erwartet wird. Abstrakte oder nicht verwandte Beispiele führen zu Fehldiagnosen.

• Angriffsablauf & Befehle:
  Ein Angreifer, der sich initialen Zugriff auf den Windows-Host verschafft hat, möchte einen versteckten C2-Tunnel zur APT‑Q‑27-Infrastruktur etablieren. Mithilfe einer benutzerdefinierten PowerShell-Hintertür löst der Betreiber den fest codierten Domänennamen wk.goldeyeuu.io auf und öffnet eine TCP-Verbindung auf Port 15628. Der Verkehr wird vom Firewall ausgehend erlaubt, und da die Verbindung einen nicht standardmäßigen Port verwendet, sticht sie in den Firewall-Protokollen hervor. Der Angreifer überträgt dann codierte Befehle über diesen Kanal (T1059), um weitere Nutzlasten auszuführen.

  Schritt-für-Schritt:

  1. Lösen Sie die C2-Domäne auf, um zu überprüfen, ob DNS funktioniert.
  2. Öffnen Sie einen rohen TCP-Socket zur aufgelösten IP auf Port 15628.
  3. Senden Sie eine einfache „Ping“-Nutzlast, um die Konnektivität zu bestätigen (simuliert ein Beacon).

• Regressionstest-Skript:

  # -----------------------------------------------------------------------------------------------------------------
  # Simulieren Sie die C2-Kommunikation zu wk.goldeyeuu.io auf Port 15628
  # -----------------------------------------------------------------------------------------------------------------
  # Lösen Sie die bösartige Domäne auf (es wird erwartet, dass eine vom Red Team kontrollierte IP zurückgegeben wird)
  $c2Domain = "wk.goldeyeuu.io"
  try {
      $c2IP = [System.Net.Dns]::GetHostAddresses($c2Domain) |
               Where-Object { $_.AddressFamily -eq [System.Net.Sockets.AddressFamily]::InterNetwork } |
               Select-Object -First 1
  } catch {
      Write-Error "DNS-Auflösung für $c2Domain fehlgeschlagen"
      exit 1
  }
  
  # Stellen Sie eine TCP-Verbindung auf dem nicht standardmäßigen Port 15628 her
  $c2Port = 15628
  $client = New-Object System.Net.Sockets.TcpClient
  try {
      $client.Connect($c2IP.IPAddressToString, $c2Port)
      Write-Host "Verbunden mit $c2Domain ($($c2IP.IPAddressToString)):`$c2Port"
  } catch {
      Write-Error "Verbindung zu $c2Domain auf Port $c2Port fehlgeschlagen"
      exit 1
  }
  
  # Senden Sie eine einfache Beacon-Nutzlast (ASCII „PING“) und schließen Sie die Verbindung
  $stream = $client.GetStream()
  $payload = [System.Text.Encoding]::ASCII.GetBytes("PING")
  $stream.Write($payload, 0, $payload.Length)
  $stream.Flush()
  Write-Host "Beacon-Nutzlast gesendet."
  
  # Aufräumen
  $stream.Close()
  $client.Close()
  # -----------------------------------------------------------------------------------------------------------------

• Aufräumbefehle:

  # Stellen Sie sicher, dass alle verbleibenden TCP-Verbindungen geschlossen sind (verteidigende Maßnahme für die Testumgebung)
  Get-NetTCPConnection -RemotePort 15628 -State Established |
      ForEach-Object { Stop-Process -Id $_.OwningProcess -Force }