Dentro del Banana RAT de SHADOW-WATER-063: Del servidor de construcción al fraude bancario

Ejecución de Simulación

Prerequisito: La Verificación de Telemetría y Línea Base Previa debe haber pasado.

Justificación: Esta sección detalla la ejecución precisa de la técnica del adversario (comunicación C2) diseñada para activar la regla de detección. Los comandos y la narrativa reflejan directamente las TTPs identificadas y buscan generar la telemetría exacta esperada por la lógica de detección.

• Narrativa del Ataque y Comandos:
  El actor de amenazas ha desplegado el Banana RAT en el punto final de la víctima. Para mantener la persistencia y recibir comandos, el RAT inicia comunicación saliente hacia su infraestructura C2 con codificación fija:

  1. Beacon HTTP (IP 24.199.90.58:80): Abre un socket TCP sin procesar y envía una solicitud HTTP GET mínima.
  2. Beacon HTTPS (IP 162.141.111.227:443): Usa Invoke-WebRequest con TLS al servidor C2.
  3. Beacon Basado en Dominio: Realiza un consulta DNS para c.windowsk-cdn.com, que el C2 monitoriza para el volumen de consultas.

  Las tres acciones se ejecutan secuencialmente para maximizar la oportunidad de impactar al menos en una opción en la regla Sigma.

• Script de Prueba de Regresión:

  # -------------------------------------------------
  # Simulación de Comunicación C2 de Banana RAT (TC-20260522-A1B2C)
  # -------------------------------------------------
  # 1. Beacon HTTP a 24.199.90.58:80
  try {
      $httpClient = New-Object System.Net.Sockets.TcpClient("24.199.90.58",80)
      $stream = $httpClient.GetStream()
      $writer = New-Object System.IO.StreamWriter($stream)
      $writer.WriteLine("GET / HTTP/1.1")
      $writer.WriteLine("Host: 24.199.90.58")
      $writer.WriteLine("Connection: Close")
      $writer.WriteLine()
      $writer.Flush()
      $reader = New-Object System.IO.StreamReader($stream)
      $response = $reader.ReadToEnd()
      $writer.Dispose()
      $reader.Dispose()
      $httpClient.Close()
  } catch { Write-Error "HTTP beacon failed: $_" }
  
  # 2. Beacon HTTPS a 162.141.111.227:443
  try {
      Invoke-WebRequest -Uri "https://162.141.111.227" -UseBasicParsing -TimeoutSec 10
  } catch { Write-Error "HTTPS beacon failed: $_" }
  
  # 3. Consulta DNS para dominio malicioso
  try {
      Resolve-DnsName -Name "c.windowsk-cdn.com" -Type A -ErrorAction Stop
  } catch { Write-Error "DNS query failed: $_" }
  
  # Fin de la simulación

• Comandos de Limpieza:

  # -------------------------------------------------
  # Limpieza – eliminar cualquier socket restante o archivos temporales
  # -------------------------------------------------
  # La simulación no crea artefactos persistentes.
  # Asegúrese de que no queden conexiones de red residuales:
  Get-NetTCPConnection -RemotePort 80,443 `
      | Where-Object {$_.RemoteAddress -in @("24.199.90.58","162.141.111.227")} `
      | ForEach-Object { Stop-Process -Id $_.OwningProcess -Force }
  # Limpiar caché de DNS para evitar afectar pruebas subsecuentes
  Clear-DnsClientCache