RegPhantom Backdoor: Bedrohungsanalyse und Erkennungs-Einblicke

Zusammenfassung

RegPhantom ist ein auf Tarnung ausgelegter Windows-Kernel-Rootkit, der es benutzerbeschränkten Benutzermodus-Prozessen ermöglicht, willkürlichen Code im Kernel-Raum über einen versteckten, auf Registrierungsbasierenden Befehlskanal auszuführen. Der Treiber ist mit gültigen Zertifikaten signiert, basiert auf reflektierendem PE-Loading und entfernt Ausführungsartefakte, sobald seine Aufgabe abgeschlossen ist. Seine Architektur ist darauf ausgelegt, Signaturprüfungen von Treibern zu umgehen, während dauerhafte Dateien oder Registrierungseinträge vermieden werden. Eine effektive Erkennung hängt daher davon ab, den Treiber selbst und die markanten Code-Muster, die er enthält, zu identifizieren.

Untersuchung

Die Forschung überprüfte mehrere signierte und unsignierte .sys Beispiele, die zwischen Juni und August 2025 gesammelt wurden und einen gemeinsam vernebelten CFG-Code-Basis und einen Registrierungsabfangmechanismus aufzeigen, der auf CmRegisterCallbackaufbaut. Der Treiber entschlüsselt eine 56-Byte XOR-geschützte Nutzlast, die reflektierend in den Kernel-Speicher abgebildet wird, sie wird ausgeführt und dann werden die Beweise gelöscht. Die Chronologie der Muster und die Nutzung von Zertifikaten weisen auf weiterhin stattfindende Entwicklungsaktivitäten hin, die mit einem China-verknüpften Bedrohungsakteur verbunden sind.

Abschwächung

Sicherheitsteams sollten nicht vertrauenswürdige Kernel-Treiber blockieren, auf verdächtigen Gebrauch von CmRegisterCallback and PsSetCreateThreadNotifyRoutineachten und für Treiberdateien eine Integritätsvalidierung zur Startzeit durchsetzen. YARA-Regeln sollten eingesetzt werden, um die einzigartigen Byte-Sequenzen des Treibers zu erfassen, während die strikte Durchsetzung der Codesignierung beibehalten werden sollte. Das Überwachen von ungewöhnlichen Schreibfehlern in der Registrierung, insbesondere von wiederholten Zugriff-verweigert-Ereignissen, könnte ebenfalls den versteckten Kommunikationskanal offenlegen.

Reaktion

Wenn RegPhantom entdeckt wird, isolieren Sie den betroffenen Endpunkt, löschen Sie den bösartigen Treiber und erfassen Sie einen vollständigen Kernel-Speicherabzug für eine tiefere forensische Überprüfung. Widerrufen Sie missbrauchte Signatur-Zertifikate und aktualisieren Sie die vertrauenswürdigen Zertifikatspeicher nach Bedarf. Die Bedrohungssuche sollte sich dann auf das Registrierungsabfangverhalten des Treibers über die gesamte Umgebung konzentrieren, gefolgt von der Behebung aller potenziell gefährdeten Windows-Systeme.

Simulationsausführung

Voraussetzung: Der Telemetry & Baseline Pre-flight Check muss bestanden sein.

Begründung: Dieser Abschnitt beschreibt die genaue Ausführung der gegnerischen Technik (TTP), die entwickelt wurde, um die Erkennungsregel auszulösen. Die Befehle und Erzählungen MÜSSEN die identifizierten TTPs direkt widerspiegeln und darauf abzielen, genau die Telemetriedaten zu generieren, die von der Erkennungslogik erwartet werden.

• Angriffserzählung & Befehle

  1. Ziel: Den Versuch von RegPhantom emulieren, einen Kernelmodus-Registry-Callback zu registrieren, der Anmeldeinformationen-bezogene Registrierungsoperationen abfängt.
  2. Methode: Laden Sie einen minimalen, absichtlich fehlschlagenden Treiber, der CmRegisterCallback mit einer Callback-Routine auf RegNtPreSetValueKeyzeigt. Der Treiber übergibt absichtlich eine fehlerhafte Registrierungsstruktur, die zu STATUS_ACCESS_DENIED.
  3. führt. Ergebnis: Sysmon protokolliert EventID 13 mit Sysmon protokolliert EventID 13 mit enthält CmRegisterCallback and RegNtPreSetValueKey, beides Berichterstattung Datenmenge genau 56 Bytes (0x38), und Status gesetzt auf STATUS_ACCESS_DENIED.

• Regressionstest-Skript (PowerShell + eingebettete C-Treiberquelle – auf dem Zielhost kompilieren)

  # --------------------------------------------------------------
  # Schritt 1: Schreiben Sie die minimalen Treiberquelle auf die Festplatte
  # --------------------------------------------------------------
  $driverSource = @"
  #include <ntddk.h>
  
  // Dummy-Callback – wird nie aufgerufen
  NTSTATUS DummyCallback(
      _In_ PVOID CallbackContext,
      _In_ PVOID Argument1,
      _In_ PVOID Argument2
  )
  {
      UNREFERENCED_PARAMETER(CallbackContext);
      UNREFERENCED_PARAMETER(Argument1);
      UNREFERENCED_PARAMETER(Argument2);
      return STATUS_SUCCESS;
  }
  
  extern "C" NTSTATUS DriverEntry(_In_ PDRIVER_OBJECT DriverObject, _In_ PUNICODE_STRING RegistryPath)
  {
      UNREFERENCED_PARAMETER(DriverObject);
      UNREFERENCED_PARAMETER(RegistryPath);
  
      // Absichtlich eine falsche Größe (56 Bytes) verwenden und eine Callback-Registrierung anfordern
      // die mit STATUS_ACCESS_DENIED abgelehnt wird.
      UNICODE_STRING altitude = RTL_CONSTANT_STRING(L"1234.5678.90ab");
      LARGE_INTEGER cookie = {0};
  
      // Einen Fehler erzwingen, indem ein null Callback-Pointer übergeben wird (simuliert eine fehlerhafte Anforderung)
      NTSTATUS status = CmRegisterCallback(DummyCallback, NULL, &cookie);
  
      // Status überschreiben, um die genaue Bedingung zu simulieren, die RegPhantom sieht
      status = STATUS_ACCESS_DENIED; // 0xC0000022
  
      // Halten Sie den Treiber kurz geladen, damit Sysmon das Ereignis erfassen kann
      LARGE_INTEGER interval;
      interval.QuadPart = -10 * 1000000; // 1 Sekunde
      KeDelayExecutionThread(KernelMode, FALSE, &interval);
  
      // Vor dem Entladen abmelden
      CmUnregisterCallback(cookie);
  
      return STATUS_SUCCESS;
  }
  "@
  $srcPath = "$env:TEMPRegPhantomStub.c"
  $srcPath | Set-Content -Value $driverSource -Encoding ASCII
  
  # --------------------------------------------------------------
  # Schritt 2: Kompilieren Sie den Treiber (erfordert Visual Studio Build Tools)
  # --------------------------------------------------------------
  Write-Host "Treibekompilierung – erfordert Windows Driver Kit (WDK) und VS Build Tools."
  $compileCmd = "cl /nologo /W3 /WX- /O2 /DUNICODE /D_UNICODE /Zi /MD /LD $srcPath /link /OUT:`"$env:TEMPRegPhantomStub.sys`""
  & cmd /c $compileCmd
  
  # --------------------------------------------------------------
  # Schritt 3: Laden Sie den Treiber (muss als Administrator ausgeführt werden)
  # --------------------------------------------------------------
  Write-Host "Treibercacherladen, um den Registrierungsversuch auszulösen..."
  $driverPath = "$env:TEMPRegPhantomStub.sys"
  sc create RegPhantomStub binPath= $driverPath type= kernel start= demand
  sc start RegPhantomStub
  
  # --------------------------------------------------------------
  # Schritt 4: Geben Sie Sysmon Zeit, das Ereignis zu erfassen
  # --------------------------------------------------------------
  Start-Sleep -Seconds 5
  
  # --------------------------------------------------------------
  # Schritt 5: Treiber entladen und löschen
  # --------------------------------------------------------------
  sc stop RegPhantomStub
  sc delete RegPhantomStub
  Remove-Item -Path $driverPath -Force
  Remove-Item -Path $srcPath -Force
  
  Write-Host "Simulation abgeschlossen. Überprüfen Sie die Erkennung in Ihrem SIEM."

• Bereinigungsschbefehle (falls der Treiber nicht kompiliert oder geladen werden konnte)

  # Sicherstellen, dass jeder teilweise erstellte Treiberdienst entfernt wird
  if (Get-Service -Name RegPhantomStub -ErrorAction SilentlyContinue) {
      sc stop RegPhantomStub
      sc delete RegPhantomStub
  }
  # Restdateien entfernen
  Remove-Item -Path "$env:TEMPRegPhantomStub.*" -Force -ErrorAction SilentlyContinue