Ricerca aziendale APT & Attacchi mirati all’interno di Shadow-Earth-053: Una campagna di cyber spionaggio allineata alla Cina contro i settori governativo e della difesa in Asia

Ruslan Mikhalov Capo della Ricerca sulle Minacce presso SOC Prime

Segui

Ricerca aziendale APT & Attacchi mirati all’interno di Shadow-Earth-053: Una campagna di cyber spionaggio allineata alla Cina contro i settori governativo e della difesa in Asia

Detection stack

AIDR
Alert
ETL
Query

Rapporto
Flusso di Attacco
Rilevamenti
Simulazioni

Sommario

Un gruppo di minaccia allineato con la Cina, seguito come SHADOW-EARTH-053, ha sfruttato server Microsoft Exchange e IIS non patchati tramite la catena di vulnerabilità ProxyLogon per distribuire web shell e installare la famiglia di malware ShadowPad. Il gruppo fa affidamento sul caricamento laterale di DLL tramite binari firmati legittimi, esecuzione di payload basata su registro e più strumenti di tunneling per mantenere l’accesso nascosto di comando e controllo. Le vittime osservate includono ministeri governativi, appaltatori legati alla difesa ed entità di trasporto in diversi Paesi asiatici, nonché uno Stato membro della NATO. L’attività evidenzia il pericolo continuo posto dalle vecchie falle di Exchange quando abbinate a tecniche mature post-compromesso.

Indagine

I ricercatori hanno documentato la distribuzione di web shell utilizzando nomi di file come error.aspx and tunnel.ashx in comuni directory IIS, seguita dalla consegna di ShadowPad tramite carico laterale di DLL con eseguibili fidati come runtimebroker.exe. Hanno anche identificato ulteriori backdoor, inclusa mdync.exe, che comunicano con infrastrutture esterne, mentre gli strumenti di tunneling come GOST, Wstunnel e code.exe sono stati predisposti in C:UsersPublic. L’attività di furto di credenziali ha coinvolto Mimikatz e utilità personalizzate come Evil-CreateDump and newdcsync, eseguite tramite il processo di lavoro IIS. La persistenza è stata supportata tramite modifiche al registro come LocalAccountTokenFilterPolicy e attività pianificate, tra cui M1onltor.

Mitigazione

Le organizzazioni dovrebbero applicare tutti gli aggiornamenti di sicurezza disponibili per Microsoft Exchange Server e IIS, dando priorità ai CVE correlati a ProxyLogon. I firewall per applicazioni web o i controlli di prevenzione delle intrusioni dovrebbero essere configurati per bloccare i tentativi di sfruttamento prima dell’esecuzione. I difensori dovrebbero anche applicare il monitoraggio dell’integrità dei file sulle directory esposte al web e prevenire la creazione non autorizzata di .aspx, .ashx, o .jsp file. Ulteriori passi di rafforzamento includono la restrizione dei permessi del processo IIS, la riduzione dell’accesso in scrittura, il monitoraggio dei processi figli lanciati da w3wp.exe, la disabilitazione di servizi non utilizzati e l’applicazione della lista di autorizzazione delle applicazioni sui server critici.

Risposta

I team di sicurezza dovrebbero allertare sull’apparizione di .aspx or .ashx file sconosciuti all’interno dei percorsi di IIS e su attività pianificate con nome M1onltor. La copertura di rilevamento dovrebbe includere anche l’esecuzione di strumenti come Mimikatz e PowerView, nonché attività di caricamento laterale di DLL coinvolgendo binari firmati. La comunicazione in uscita verso gli indirizzi IP identificati come malevoli e il dominio check[.]office365-update[.]com dovrebbero essere bloccate immediatamente. Gli operatori che rispondono agli incidenti dovrebbero quindi eseguire una revisione forense dei valori sospetti sotto HKEY_CURRENT_USERSoftware e rimuovere eventuali attività pianificate non autorizzate o artefatti di persistenza.

"graph TB %% Class definitions section classDef technique fill:#99ccff classDef operator fill:#ff9900 %% Node definitions tech_exploit_pf["Technique – T1190 Exploit Public-Facing Application Gli avversari sfruttano vulnerabilità in applicazioni esposte a Internet per ottenere l’accesso iniziale."] class tech_exploit_pf technique tech_webshell["Technique – T1505.003 Server Software Component Web Shell Gli avversari installano una web shell su un server compromesso per mantenere un accesso persistente."] class tech_webshell technique tech_code_sign["Technique – T1553.002 Subvert Trust Controls Code Signing Gli avversari caricano lateralmente DLL firmate per eseguire codice malevolo pur apparendo fidati."] class tech_code_sign technique tech_masquerade["Technique – T1036 Masquerading Gli avversari rinominano utilità e le confezionano con strumenti come RingQ per apparire legittimi."] class tech_masquerade technique tech_cred_dump["Technique – T1003 OS Credential Dumping Gli avversari ottengono credenziali dal sistema operativo utilizzando strumenti come Mimikatz, Evil CreateDump o DCSync."] class tech_cred_dump technique tech_account_manip["Technique – T1098.002 Account Manipulation Email Delegate Permissions Gli avversari si aggiungono come delegati alle caselle di posta delle vittime per leggere e inviare email."] class tech_account_manip technique tech_exploit_remote["Technique – T1210 Exploitation of Remote Services Gli avversari utilizzano WMIC o SMBExec per eseguire comandi su host remoti per movimento laterale."] class tech_exploit_remote technique tech_proxy["Technique – T1090 Proxy Gli avversari impiegano strumenti proxy come GOST, Wstunnel o tunnel core per inoltrare il traffico attraverso più salti."] class tech_proxy technique tech_tunnel["Technique – T1572 Protocol Tunneling Gli avversari canalizzano il traffico su protocolli SOCKS5 o HTTPS per comunicare con comando e controllo."] class tech_tunnel technique tech_email_collect["Technique – T1114 Email Collection Gli avversari raccolgono dati email dai server Exchange utilizzando le API di Exchange Web Services."] class tech_email_collect technique tech_archive["Technique – T1567.001 Archive Collected Data Gli avversari comprimono i dati rubati in un archivio RAR protetto da password per l’esfiltrazione."] class tech_archive technique %% Connections showing flow tech_exploit_pf –>|porta a| tech_webshell tech_webshell –>|usa| tech_code_sign tech_webshell –>|usa| tech_masquerade tech_webshell –>|abilita| tech_cred_dump tech_cred_dump –>|abilita| tech_account_manip tech_webshell –>|abilita| tech_exploit_remote tech_exploit_remote –>|facilita| tech_proxy tech_proxy –>|abilita| tech_tunnel tech_webshell –>|abilita| tech_email_collect tech_email_collect –>|porta a| tech_archive "

Flusso di Attacco

Narrativa dell’Attacco e Comandi:
Un avversario ha ottenuto un binario tunneling personalizzato (ad esempio, tunnel.exe) sull’host compromesso. Per evitare il rilevamento durante il download iniziale, il binario viene messo in scena in C:ProgramData, una directory comunemente scrivibile dagli utenti standard e frequentemente utilizzata per installazioni legittime. Dopo lo staging, l’attaccante eseguirà successivamente lo strumento per stabilire un canale nascosto. Lo step di staging viene eseguito con PowerShell Copy-Item, producendo un evento di creazione file che corrisponde ai criteri di percorso della regola di rilevamento.

Script per Test di Regressione:

# Simulazione dello staging dello strumento in una directory monitorata
$stagingPath = "C:ProgramDatatunnel.exe"
$payload = [IO.Path]::GetTempFileName()
# Crea un binario fittizio (byte casuali) per imitare uno strumento reale
$rand = New-Object byte[] 1024
(New-Object System.Random).NextBytes($rand)
Set-Content -Path $payload -Value $rand -Encoding Byte -Force

# Copia il binario fittizio nella posizione di staging
Copy-Item -Path $payload -Destination $stagingPath -Force

# Output per la verifica manuale
Write-Host "Strumento di tunneling fittizio messo in scena a $stagingPath"

Comandi di Pulizia:

# Rimuovi il file messo in scena e il payload temporaneo
Remove-Item -Path "C:ProgramDatatunnel.exe" -Force -ErrorAction SilentlyContinue
Remove-Item -Path $payload -Force -ErrorAction SilentlyContinue
Write-Host "Pulizia completata."

Unisciti alla piattaforma Detection as Code di SOC Prime per migliorare la visibilità sulle minacce più rilevanti per il tuo business. Per aiutarti a iniziare e aumentare immediatamente il valore, prenota ora un incontro con gli esperti di SOC Prime.

Iscriviti gratis