Elastic Security Labs scopre BRUSHWORM e BRUSHLOGGER

Ruslan Mikhalov Capo della Ricerca sulle Minacce presso SOC Prime

Segui

Elastic Security Labs scopre BRUSHWORM e BRUSHLOGGER

Detection stack

AIDR
Alert
ETL
Query

Rapporto
Flusso di Attacco
Rilevamenti
Simulazioni

Riassunto

Elastic Security Labs ha scoperto due famiglie di malware personalizzati, BRUSHWORM e BRUSHLOGGER, utilizzati contro un’istituzione finanziaria nel Sud-est asiatico. BRUSHWORM è una backdoor modulare che mantiene la persistenza tramite un’attività pianificata, si diffonde tramite supporti rimovibili e ruba file attraverso un’ampia gamma di estensioni. BRUSHLOGGER è un keylogger DLL caricato lateralmente che cattura i tasti premuti insieme al contesto della finestra attiva e salva i registri in forma crittografata con XOR. Entrambi i campioni di malware sembrano relativamente poco sofisticati e mostrano segni di continuo sviluppo tramite tentativi ed errori.

Indagine

Durante l’indagine, gli analisti hanno recuperato l’eseguibile della backdoor paint.exe e il keylogger DLL caricato lateralmente libcurl.dll, quindi hanno esaminato i loro metodi di persistenza, la logica di configurazione, il comportamento di diffusione tramite USB e le directory di staging dei dati. Su VirusTotal sono state trovate anche versioni di sviluppo più vecchie come V1.exe, V2.exe e V4.exe, dove erano collegate a infrastrutture di DNS dinamici gratuiti per il comando e il controllo. Il report ha inoltre documentato i task pianificati del malware, il mutex e le convenzioni sui percorsi dei file.

Mitigazione

I difensori dovrebbero prevenire l’esecuzione di binari sconosciuti dai percorsi ProgramData e Public, monitorare la creazione di attività pianificate denominate MSGraphics o MSRecorder e rilevare il mutex Windows-Updates-KB852654856. Le organizzazioni dovrebbero anche disabilitare o limitare l’autorun dai media rimovibili e ispezionare i nomi dei file esca sospetti. Il logging e l’ispezione del traffico WinHTTP verso il dominio C2 identificato dovrebbero essere applicati.

Risposta

Se viene rilevata attività di BRUSHWORM o BRUSHLOGGER, isolare l’endpoint, conservare i campioni di paint.exe e libcurl.dll, catturare le prove dell’attività pianificata e rimuovere i file dannosi da tutte le directory utente e pubbliche. Gli investigatori dovrebbero anche esaminare le unità rimovibili per i binari di esca, eliminare la cartella di esfiltrazione in fase di staging, reimpostare le credenziali colpite e monitorare l’eventuale recupero di payload aggiuntivi dal server C2.

"graph TB %% Class definitions section classDef technique fill:#cfe2f3 %% Node definitions exec_check["Tecnica – T1497.002 Evasione di Virtualizzazione/Sandbox: Controlla l’attività dell’utente, la risoluzione dello schermo, il nome utente, il nome del computer, le stringhe del CPUID dell’hypervisor e i movimenti del mouse per interrompere nei ambienti di analisi."] class exec_check technique persistence_task["Tecnica – T1053 Attività/Job Pianificato: Crea un’attività pianificata di Windows denominata MSGraphics che esegue la backdoor ad ogni accesso utente."] class persistence_task technique c2_contact["Tecnica – T1071 Protocollo a Livello di Applicazione: La backdoor contatta il suo server C2 su HTTPS utilizzando WinHTTP."] class c2_contact technique encrypted_channel["Tecnica – T1573 Canale Cifrato: Stabilisce un canale crittografato per scaricare moduli aggiuntivi."] class encrypted_channel technique shared_module["Tecnica – T1129 Moduli Condivisi: Scarica un payload DLL (Recorder.dll) dal server C2."] class shared_module technique second_task["Tecnica – T1053 Attività/Job Pianificato: Crea una seconda attività pianificata che lancia Recorder.dll tramite rundll32.exe."] class second_task technique dll_side["Tecnica – T1574.001 Caricamento Laterale DLL: Il libcurl.dll dannoso è caricato lateralmente per dirottare il flusso di esecuzione."] class dll_side technique keylogging["Tecnica – T1056.001 Keylogging: DllMain installa un hook di tastiera a basso livello per catturare sequenze di tasti, titoli delle finestre e timestamp."] class keylogging technique obfuscation["Tecnica – T1027 File o Informazioni Offuscati: I file di registro sono crittografati con XOR; i dati di configurazione sono scritti in testo chiaro e poi eliminati."] class obfuscation technique local_staging["Tecnica – T1074.001 Staging Dati Locali: I file raccolti sono copiati in C:UsersPublicSysteminfo e viene mantenuto un log hash per evitare esfiltrazioni duplicate."] class local_staging technique usb_propagation["Tecnica – T1092 Comunicazione Tramite Media Rimovibili: Quando Internet è raggiungibile, il malware si copia sui drive USB collegati usando nomi di file ad esca."] class usb_propagation technique usb_data_exfil["Tecnica – T1025 Dati da Media Rimovibili: Continua il furto di file dai drive USB."] class usb_data_exfil technique physical_exfil["Tecnica – T1052.001 Esfiltrazione su Supporto Fisico: Se non c’è Internet, i file rubati sono copiati su media rimovibili per esfiltrazione fisica."] class physical_exfil technique %% Connections showing flow exec_check –>|triggers| persistence_task persistence_task –>|executes| c2_contact c2_contact –>|establishes| encrypted_channel c2_contact –>|downloads| shared_module shared_module –>|creates| second_task second_task –>|launches| dll_side dll_side –>|loads| keylogging keylogging –>|produces| obfuscation obfuscation –>|stores| local_staging local_staging –>|copies to| usb_propagation usb_propagation –>|exfiltrates from| usb_data_exfil local_staging –>|uses for| physical_exfil "

Flusso d’Attacco

Narrazione dell’Attacco & Comandi:
Un attaccante ha ottenuto una DLL dannosa (evil.dll) che, quando eseguita tramite rundll32.exe, rilascia un payload ransomware e scrive dati crittografati su un drive USB. Per evitare sospetti, l’attaccante utilizza prima paint.exe per creare un’immagine dall’aspetto innocuo sul supporto rimovibile, quindi utilizza rundll32.exe per caricare la DLL dannosa nascosta nella stessa directory. Entrambe le azioni generano eventi di creazione di processo che corrispondono alla regola Sigma.

Script di Test di Regressione:

# ------------------------------
# Simulazione di abuso di Paint + Rundll32
# ------------------------------

# 1. Crea una directory di lavoro temporanea
$workDir = "$env:TEMPPaintRundllSim"
New-Item -ItemType Directory -Path $workDir -Force | Out-Null

# 2. Copia un'immagine legittima su USB (simulata da $workDir)
$imagePath = Join-Path $workDir "innocent.png"
Invoke-WebRequest -Uri "https://via.placeholder.com/150" -OutFile $imagePath

# 3. Avvia Paint per aprire l'immagine (uso benigno – corrisponde comunque alla regola)
Start-Process -FilePath "$env:WINDIRsystem32mspaint.exe" -ArgumentList "`"$imagePath`"" -PassThru | Out-Null

# 4. Rilascia una DLL dannosa (simulata; il payload reale sarebbe coperto)
$dllPath = Join-Path $workDir "evil.dll"
$dllBytes = [byte[]] (0x4D,0x5A,0x90,0x00) # Intestazione PE minima di placeholder
[IO.File]::WriteAllBytes($dllPath, $dllBytes)

# 5. Esegui il DLL tramite Rundll32 (questo è il passaggio dannoso)
Start-Process -FilePath "$env:WINDIRsystem32rundll32.exe" `
             -ArgumentList "`"$dllPath`,EntryPoint`"" -PassThru | Out-Null

# 6. Pausa per consentire l'ingestione SIEM
Write-Host "Simulazione eseguita. Attendere ~30s per i log da apparire in SIEM."

Comandi di Pulizia:

# Rimuovi file e processi temporanei
Stop-Process -Name mspaint -ErrorAction SilentlyContinue
Stop-Process -Name rundll32 -ErrorAction SilentlyContinue
Remove-Item -Path "$env:TEMPPaintRundllSim" -Recurse -Force
Write-Host "Pulizia completata."

Unisciti alla piattaforma Detection as Code di SOC Prime per migliorare la visibilità sulle minacce più rilevanti per il tuo business. Per aiutarti a iniziare e aumentare immediatamente il valore, prenota ora un incontro con gli esperti di SOC Prime.

Iscriviti gratis