Von W-2 zu BYOVD: Wie eine Steuersuche zu Kernelmodus-AV/EDR-Schaltungen führt

Zusammenfassung

Eine umfassende Malvertising-Operation missbraucht Google Ads, die mit Steuerformularsuchen verbunden sind, um einen gefälschten ScreenConnect-Installer zu vertreiben. Dieser Installer setzt einen mehrstufigen Crypter ein, der dann ein BYOVD-Dienstprogramm namens HwAudKiller lädt. Das Tool installiert einen signierten Huawei-Audiotreiber und nutzt den Zugriff auf Kernel-Ebene, um AV- und EDR-Prozesse zu beenden. Sobald die Sicherheitskontrollen deaktiviert sind, werfen die Angreifer LSASS-Anmeldeinformationen aus und sammeln Anmeldeinformationen im gesamten Netzwerk mit NetExec. Die Aktivität zeigt, wie die Bereitstellung von Standard-Malware mit einem benutzerdefinierten Kernel-Treiber kombiniert werden kann, um unauffälligen Zugriff zu erhalten, Abwehrmechanismen zu unterdrücken und die Persistenz aufrechtzuerhalten.

Untersuchung

Huntress-Forscher verfolgten den Umleitungspfad von anukitax.com to bringetax.com und bestätigten die Lieferung eines gefälschten ScreenConnect-MSI-Pakets. Die abgelegte Datei crypteds.exe nutzt einen 2-GB-Speicherzuweisungstrick zur Tarnung und startet Shellcode indirekt über timeSetEvent, bevor HwAudKiller geladen wird. Diese Nutzlast schreibt Havoc.sys in %TEMP% und registriert einen Kernel-Dienst namens Havoc, um eine fest kodierte Liste von Sicherheitsprozessen zu beenden. In einer zweiten Infektion erlangten die Angreifer über einen VPN-Kompromiss Zugriff, verwendeten denselben Treiber erneut, erweiterten die Kill-Liste, um FortiEDR-Prozesse einzuschließen, warfen LSASS mit comsvcs.dll aus und bewegten sich seitwärts mit NetExec.

Minderung

Organisationen sollten legitime ScreenConnect-Deployments blockieren oder streng erlauben und auf unbekannte Testinstanz-* Relay-Hostnamen überwachen. Sicherheitsteams sollten auf Kernel-Treiber achten, die aus temporären Pfaden geladen werden, und bei Sysmon Ereignis-ID 6 und Aktivität bei der Installation von Windows-Diensten alarmieren. Strenge Ausführungskontrollen sollten für Dateien durchgesetzt werden, die in C:WindowsSystemTempScreenConnect und %TEMP% geschrieben werden. Anwender-Bewusstseinsmaßnahmen sollten ebenfalls verstärken, dass Google Ads-Suchergebnisse keine vertrauenswürdigen Quellen für steuerbezogene Downloads sind.

Reaktion

Wenn ein bösartiger ScreenConnect-Installer gefunden wird, isolieren Sie sofort den Endpunkt, sammeln crypteds.exe und jeden abgelegten Havoc.sys-Treiber und stoppen den Havoc-Dienst. Beginnen Sie mit Verfahren zum Zurücksetzen von Anmeldeinformationen für potenziell kompromittierte Konten und widerrufen Sie exponierten Zugriff. Scannen Sie anschließend das gesamte Netzwerk auf zusätzliche ScreenConnect-Relay-Verbindungen, NetExec-Ausführungen und Anzeichen von LSASS-Dumping. Schließlich dokumentieren und teilen Sie entdeckte IOCs mit internen und externen Bedrohungsintelligenzkanälen.

Simulationsausführung

Voraussetzung: Die Telemetrie- und Basislinien-Vorprüfung muss bestanden sein.

Begründung: Dieser Abschnitt beschreibt die genaue Ausführung der gegnerischen Technik (TTP), die entworfen wurde, um die Erkennungsregel auszulösen. Die Befehle und die Erzählung müssen direkt die identifizierten TTPs widerspiegeln und darauf abzielen, genau die Telemetrie zu erzeugen, die durch die Erkennungslogik erwartet wird.

• Angriffs-Narrativ & Befehle:

  1. Erster Zugriff via Malvertising: Das Opfer klickt auf eine bösartige Anzeige, während es nach Steuerformularen sucht, was einen Drive-by-Download von form_w9.msi.
  2. Installation von bösartiger Software: Das MSI installiert stillschweigend ein ScreenConnect-ähnliches Fernunterstützungs-Tool und legt crypteds.exe and sent.exe im %TEMP% Verzeichnis ab.
  3. Anmeldeinformationen ernten: crypteds.exe wird gestartet, um LSA Secrets zu dumpen.
  4. DLL-Seitenladen via Rundll32: Um statische Erkennung zu umgehen, lädt der Angreifer eine bösartige DLL mit rundll32.exe mit der System-DLL comsvcs.dll als Einstiegspunkt, welcher die eingebettete Nutzlast ausführt.

  Die genauen Befehle (simuliert auf einem Testgerät) sind:

  # 1. Das bösartige MSI bereitstellen (simuliert)
  Start-Process -FilePath "C:Tempform_w9.msi" -ArgumentList "/quiet" -Wait
  
  # 2. Das Tool zum Dumpen der Anmeldeinformationen starten
  Start-Process -FilePath "$env:TEMPcrypteds.exe" -ArgumentList "/dump" -Wait
  
  # 3. Die bösartige Nutzlast über rundll32 mit comsvcs.dll laden
  rundll32.exe "C:windowsSystem32comsvcs.dll",LaunchApplication "$env:TEMPsent.exe"

• Regressionstest-Skript: Das Skript unten automatisiert die obigen Schritte und stellt sicher, dass die generierte Telemetrie den Erwartungen der Erkennungsregel entspricht.

  # Regression Test Script – Simuliert die Malvertising-Kampagne
  # -----------------------------------------------------------
  # 0. Voraussetzung: Stellen Sie sicher, dass Sysmon mit aktivierter Befehlszeilenprotokollierung läuft.
  
  # Variablen
  $msiPath = "$env:TEMPform_w9.msi"
  $dumpTool = "$env:TEMPcrypteds.exe"
  $payload = "$env:TEMPsent.exe"
  $dllPath = "C:windowsSystem32comsvcs.dll"
  
  # Helfer: Dummy-Dateien erstellen, um die bösartigen Binärdateien zu imitieren
  New-Item -Path $msiPath -ItemType File -Force | Out-Null
  New-Item -Path $dumpTool -ItemType File -Force | Out-Null
  New-Item -Path $payload -ItemType File -Force | Out-Null
  
  Write-Host "[*] Installation des bösartigen MSI (simuliert)..."
  Start-Process -FilePath "msiexec.exe" -ArgumentList "/i `"$msiPath`" /quiet" -Wait
  
  Write-Host "[*] Ausführen des Anmeldeinformationen-Dumping-Tools..."
  Start-Process -FilePath $dumpTool -ArgumentList "/dump" -Wait
  
  Write-Host "[*] Durchführung von DLL-Seitenladen über rundll32..."
  rundll32.exe "`"$dllPath`"",LaunchApplication "`"$payload`""
  
  Write-Host "[+] Simulation abgeschlossen. Überprüfen Sie die Erkennung über das SIEM."

• Aufräumbefehle: Entfernen Sie die Dummy-Artefakte und stoppen Sie alle verbleibenden Prozesse.

  # Aufräumskript
  $paths = @("$env:TEMPform_w9.msi","$env:TEMPcrypteds.exe","$env:TEMPsent.exe")
  foreach ($p in $paths) {
      if (Test-Path $p) { Remove-Item -Path $p -Force }
  }
  
  # Beenden Sie alle während des Tests gestarteten rundll32-Prozesse
  Get-Process -Name rundll32 -ErrorAction SilentlyContinue |
      Where-Object {$_.Path -eq "$env:SystemRootSystem32rundll32.exe"} |
      Stop-Process -Force