ChainShell: MuddyWater та російський MaaS

Резюме

MuddyWater, іранський актор шпигунства, використовує російську платформу шкідливого ПЗ як послугу TAG-150 для доставки CastleRAT та новішого агенту C2 на базі Node.js з підтримкою блокчейну, відстежуваного як ChainShell, проти ізраїльських та інших цінних цілей. Активність підтримується відкритим, неправильно налаштованим вебсервером C2, скриптом для розгортання PowerShell (reset.ps1) і PE-шкідливими програмами, замаскованими за допомогою стеганографії. Кілька випусків CastleRAT (включаючи Build 120 і Build 13) містять спільні жорстко закодовані ідентифікатори, які вказують на те ж саме походження MaaS. Задня інфраструктура, вочевидь, кампанізована, використовуючи спільні домени (наприклад, serialmenot.com) та креденціали JWT для кожної операції для розділення доступу та відстеження по всіх розгортаннях.

Розслідування

JUMPSEC переглянула відкритий хост C2, відновила 15 зразків шкідливого ПЗ і пов’язала логіку розгортання reset.ps1 з доставкою як ChainShell, так і кількох білдів CastleRAT. Дослідники також співвіднесли сертифікати підпису коду (Amy Cherne і Donald Gay), які бачили в відомих інструментах MuddyWater, з інсталятором TAG-150 MSI, формуючи високодостовірний слід атрибуції. Додатковий перетин спостерігався в зразках в жорстко закодованих маркерах білдів, знову використовуваних іменуванням запланованих завдань і ID кампанії JWT, вбудованих в інструмент та сторонні артефакти сервера.

Пом’якшення

Слідкуйте за reset.ps1, пов’язаними запланованими завданнями та унікальними артефактами mutex або шляху до файлів, пов’язаними з CastleRAT та ChainShell. Блокуйте відому інфраструктуру TAG-150, включаючи serialmenot.com, ttrdomennew.com та sharecodepro.com, і ретельно перевіряйте встановлення компонентів Node.js, кероване PowerShell. Застосовуйте суворі контролі підпису коду та перевіряйте підозрілі сертифікати за відомими підписними матеріалами MuddyWater.

Реакція

Якщо виявлено індикатори, ізолюйте уражені пункти, захоплюйте повні образи дисків і пам’яті, і перевіряйте на залишки CastleRAT та ChainShell. відкличте або недовіряйте скомпрометовані сертифікати підпису коду, скиньте уражені креденціали та координуйте звітування із відповідними національними CERT. Огляд телеметрії мережі на шаблони доступу до Ethereum RPC та використання JWT, пов’язане з командою серцерідного налагодження serialmenot.com.

Виконання симуляції

Передумови: телеметрія та перевірка бази повинні пройти.

• Опис атаки та команди:

  1. Етап 1 – Підготувати простий сервер C2 (запустити на машині нападника або контрольованій ВМ). Сервер слухає на порту 9999 та відображає отримані дані.

  2. Етап 2 – На цільовому комп’ютері з Windows запустити задній хід PowerShell який відкриває TCP-з’єднання з сервером C2 на порту 9999. Завантаження використовує рідні класи .NET, щоб уникнути створення окремого виконуваного файлу, імітуючи підхід «жити за рахунок системи».

  3. Етап 3 – Необов’язковий перехід через проксі: Спочатку скрипт PowerShell звертається до локального проксі HTTP (слухаючи на 127.0.0.1:8080), який переправляє трафік TCP до віддаленого сервера C2, демонструючи, що порт призначення не змінився.

  Ці кроки створюють події на міжмережевому екрані з DestinationPort = 9999, задовольняючи правило Sigma.

• Сценарій регресійного тестування:

  # -------------------------------------------------
  # Симуляція CastleRAT-подібного C2 – PowerShell
  # -------------------------------------------------
  # 1. Визначити адресу сервера C2 (замініть на ваш тестовий IP)
  $c2Ip = "10.0.0.50"
  $c2Port = 9999
  
  # 2. НЕОБОВ'ЯЗКОВО: Визначити локальний проксі (якщо ви хочете протестувати перехід через проксі)
  $useProxy = $false
  $proxyHost = "127.0.0.1"
  $proxyPort = 8080
  
  # 3. Функція для відкриття потоку TCP (напряму або через проксі)
  function Invoke-C2Connection {
      param (
          [string]$destIp,
          [int]$destPort,
          [bool]$viaProxy
      )
      if ($viaProxy) {
          # Проста HTTP CONNECT тунель
          $proxyUri = "http://$proxyHost`:$proxyPort"
          $client = New-Object System.Net.Sockets.TcpClient($proxyHost,$proxyPort)
          $stream = $client.GetStream()
          $connectRequest = "CONNECT $destIp`:$destPort HTTP/1.1`r`nHost: $destIp`r`n`r`n"
          $bytes = [System.Text.Encoding]::ASCII.GetBytes($connectRequest)
          $stream.Write($bytes,0,$bytes.Length)
          # Скинути відповідь проксі
          $buffer = New-Object byte[] 1024
          $null = $stream.Read($buffer,0,$buffer.Length)
          Write-Host "[+] Підключення через проксі встановлено"
          return $stream
      } else {
          $client = New-Object System.Net.Sockets.TcpClient($destIp,$destPort)
          Write-Host "[+] Пряме з’єднання TCP встановлено"
          return $client.GetStream()
      }
  }
  
  # 4. Відкрийте з'єднання
  $stream = Invoke-C2Connection -destIp $c2Ip -destPort $c2Port -viaProxy:$useProxy
  
  # 5. Відправте простий маяк
  $beacon = "CastleRAT Маяк $(Get-Date -Format o)`n"
  $bytes = [System.Text.Encoding]::UTF8.GetBytes($beacon)
  $stream.Write($bytes,0,$bytes.Length)
  Write-Host "[+] Маяк відправлено"
  
  # 6. Утримуйте відкритий канал на короткий період (імітувати стійкість)
  Start-Sleep -Seconds 15
  
  # 7. Очистка
  $stream.Close()
  Write-Host "[+] З’єднання закрито"

• Команди очищення:

  # Переконайтеся, що будь-які залишені TCP-з'єднання закриті
  Get-NetTCPConnection -RemotePort 9999 -State Established | ForEach-Object {
      try {
          $proc = Get-Process -Id $_.OwningProcess -ErrorAction SilentlyContinue
          if ($proc) { Stop-Process -Id $proc.Id -Force }
      } catch {}
  }
  
  # Видаліть будь-який тимчасовий слухач проксі, якщо він був запущений локально
  Stop-Process -Name "python" -Force -ErrorAction SilentlyContinue

Додаткові спостереження та рекомендації з покращення

1. Збагачення виявлення на основі портів: Об’єднайте перевірку порту з відомими зловмисними IP/доменами C2, TLS-фінгерпринтингом або евристикою аномального обсягу трафіку.
2. Список дозволених легітимних служб: Створіть список винятків для застосунків, які законно використовують порти 9999 або 8888 (наприклад, певні бази даних або інструменти управління).
3. Базовий контекст поведінки: Розгорніть статистичні моделі для відмічення низькочастотних вихідних з’єднань до високоризикових портів, що надходять з не серверних кінцевих точок.
4. Контекст процесу: Корелюйте події на міжмережевому екрані з вихідним процесом (ImageFileName, CommandLine). Зв’яжіть з’єднання, зроблені несподіваними процесами (наприклад, powershell.exe, cmd.exe).

Застосовуючи ці пом’якшення, стійкість правила може бути підвищена з поточних 2 до 4-5 діапазонів, значно знижуючи кількість хибних спрацьовувань і зберігаючи виявлення реального трафіку CastleRAT C2.