Steganographie-Geheimnisse: Malware im Verborgenen

Simulationsausführung

Voraussetzung: Der Telemetrie & Baseline Pre-flight-Check muss bestanden haben.

Begründung: Dieser Abschnitt beschreibt die genaue Ausführung der technischen Taktik des Angreifers (TTP), die die Erkennungsregel auslösen soll. Die Befehle und Erzählungen MÜSSEN die identifizierten TTPs direkt widerspiegeln und darauf abzielen, die genaue Telemetrie zu erzeugen, die von der Erkennungslogik erwartet wird.

• Angriffserzählung & Befehle:

  1. Vorbereitung – Steganographische Nutzlast:
     Der Angreifer bettet eine kompilierte Remcos RAT-DLL in ein gutartiges JPEG mit einem benutzerdefinierten Tool ein (StegoEmbed.exe). Die resultierende Datei (bösartig.jpg) trägt die bösartige Nutzlast in ihren Pixeldaten.

  2. Lieferung – Ausführung des DotNET-Loaders:
     Der Angreifer führt einen .NET-basierten Loader aus (dotnet.exe), der das steganographische Bild referenziert und das Argument Loaderenthält. Der Loader liest das Bild, extrahiert die eingebettete DLL und lädt sie direkt in den Speicher (Ausführung im Speicher), ohne auf die Festplatte zu schreiben, und erreicht dadurch eine Erhöhung der Berechtigungen über eine Exploit (T1068).

  3. Ergebnis – RAT Beacon:
     Sobald im Speicher, stellt das Remcos RAT eine Netzwerkverbindung zum C2-Server her.

  Die kritische erzeugte Telemetrie ist ein Prozesserstellungsereignis wo:

  • Image (Prozessname) enthält DotNET (dotnet.exe).
  • Befehlszeile enthält das wörtliche Wort Loader.

  Dies erfüllt die Sigma-Regel selection_dotnet_loader.

• Regressionstest-Skript:

  # ---------------------------------------------------------
  # Simulationsskript – DotNET-Loader mit Steganographie (T1027.003)
  # ---------------------------------------------------------
  # 1. Erstellen eines Dummy-Stegano-Bildes (Platzhalter – echtes Einbetten nicht erforderlich)
  $stegoPath = "$env:TEMPmalicious.jpg"
  Copy-Item "$env:SystemRootWebWallpaperWindowsimg0.jpg" $stegoPath -Force
  
  # 2. Ausführen des .NET-Loaders mit dem erforderlichen Flag
  #    Verwendung des legitimen dotnet.exe, um den „DotNET“ Bildnamen zu imitieren.
  #    Das Argument „Loader“ löst die Sigma-Regel aus.
  $loaderArgs = "`"$stegoPath`" Loader"
  Write-Host "[*] Starten des dotnet-Loaders mit Argument: $loaderArgs"
  
  Start-Process -FilePath "dotnet.exe" -ArgumentList $loaderArgs -NoNewWindow
  
  # 3. Kurze Wartezeit, um sicherzustellen, dass der Prozess von Sysmon erfasst wird
  Start-Sleep -Seconds 5
  
  # 4. OPTIONAL: Simuliere RAT-Beacon (Netzwerkverkehr) – nicht erforderlich für Regeltest
  # ---------------------------------------------------------
  Write-Host "[*] Simulation abgeschlossen. Warnung im SIEM verifizieren."

• Bereinigungskommandos:

  # ---------------------------------------------------------
  # Bereinigung – Entfernen des temporären Stegano-Bildes und Beenden aller laufenden Loader-Prozesse
  # ---------------------------------------------------------
  $stegoPath = "$env:TEMPmalicious.jpg"
  
  # Entfernen des temporären Bildes
  if (Test-Path $stegoPath) {
      Remove-Item $stegoPath -Force
      Write-Host "[*] Gelöscht $stegoPath"
  }
  
  # Stoppen aller dotnet-Prozesse, die durch dieses Skript gestartet wurden (identifiziert durch das "Loader"-Argument)
  Get-Process -Name dotnet -ErrorAction SilentlyContinue |
      Where-Object { $_.Path -like "*dotnet.exe*" -and $_.StartInfo.Arguments -match "Loader" } |
      ForEach-Object {
          $_.Kill()
          Write-Host "[*] Beendeter Prozess ID $($_.Id)"
      }
  # ---------------------------------------------------------