Середина SHADOW-WATER-063: від Banana RAT до шахрайства з банкінгом

Симуляція виконання

Передумова: Повинна пройти перевірка телеметрії та базовий політ.

Обґрунтування: Цей розділ деталізує точне виконання техніки противника (C2 комунікація), яке призначене для запуску правила виявлення. Команди та наратив безпосередньо відображають ідентифіковані TTP та прагнуть згенерувати точну телеметрію, очікувану логікою виявлення.

• Атака: наратив і команди:
  Загрозливий актор розгорнув Banana RAT на кінцевій точці жертви. Щоб зберегти стійкість та отримати команди, RAT ініціює вихідну комунікацію зі своєю заздалегідь заданою інфраструктурою C2:

  1. HTTP маяк (IP 24.199.90.58:80): Відкриває сирий сокет TCP і відправляє мінімальний HTTP GET запит.
  2. HTTPS маяк (IP 162.141.111.227:443): Використовує Invoke-WebRequest з TLS до сервера C2.
  3. Маяк на основі домену: Виконує DNS-запит для c.windowsk-cdn.com, який C2 моніторить на обсяг запитів.

  Усі три дії виконуються послідовно, щоб максимізувати шанс на влучання хоча б в один з Sigma-правил.

• Регресійний тестовий скрипт:

  # -------------------------------------------------
  # Симуляція комунікації C2 Banana RAT (TC-20260522-A1B2C)
  # -------------------------------------------------
  # 1. HTTP маяк до 24.199.90.58:80
  try {
      $httpClient = New-Object System.Net.Sockets.TcpClient("24.199.90.58",80)
      $stream = $httpClient.GetStream()
      $writer = New-Object System.IO.StreamWriter($stream)
      $writer.WriteLine("GET / HTTP/1.1")
      $writer.WriteLine("Host: 24.199.90.58")
      $writer.WriteLine("Connection: Close")
      $writer.WriteLine()
      $writer.Flush()
      $reader = New-Object System.IO.StreamReader($stream)
      $response = $reader.ReadToEnd()
      $writer.Dispose()
      $reader.Dispose()
      $httpClient.Close()
  } catch { Write-Error "HTTP маяк не вдався: $_" }
  
  # 2. HTTPS маяк до 162.141.111.227:443
  try {
      Invoke-WebRequest -Uri "https://162.141.111.227" -UseBasicParsing -TimeoutSec 10
  } catch { Write-Error "HTTPS маяк не вдався: $_" }
  
  # 3. DNS запит для шкідливого домену
  try {
      Resolve-DnsName -Name "c.windowsk-cdn.com" -Type A -ErrorAction Stop
  } catch { Write-Error "DNS запит не вдався: $_" }
  
  # Кінець симуляції

• Команди очищення:

  # -------------------------------------------------
  # Очищення - видалити будь-які залишкові сокети або тимчасові файли
  # -------------------------------------------------
  # Постійні артефакти симуляцією не створюються.
  # Переконайтеся, що не залишилося залишкових мережевих з'єднань:
  Get-NetTCPConnection -RemotePort 80,443 `
      | Where-Object {$_.RemoteAddress -in @("24.199.90.58","162.141.111.227")} `
      | ForEach-Object { Stop-Process -Id $_.OwningProcess -Force }
  # Очистіть кеш DNS, щоб уникнути впливу на подальші тести
  Clear-DnsClientCache