Стеґанографічні таємниці: Шкідливе ПЗ у всіх на очах

Виконання симуляції

Передумова: Перевірка передумов телеметрії та базової лінії повинна бути пройдена.

Обґрунтування: Цей розділ детально описує точне виконання техніки зловмисника (TTP), розроблене для того, щоб викликати правило виявлення. Команди та розповідь повинні безпосередньо відображати виявлені TTPs і мати на меті створити точну телеметрію, яку вимагає логіка виявлення.

• Опис атаки та команди:

  1. Підготовка – Стеганографічне навантаження:
     Атакуючий вставляє скомпільований DLL Remcos RAT всередину безпечного JPEG, використовуючи власний інструмент (StegoEmbed.exe). В результаті файл (malicious.jpg) несе шкідливе навантаження в своїх піксельних даних.

  2. Доставка – Виконання завантажувача DotNET:
     Атакуючий виконує завантажувач на базі .NET (dotnet.exe), що посилається на стеговий образ і включає аргумент Loader. Завантажувач читає зображення, витягує вбудований DLL і завантажує його прямо в пам’ять (виконання в пам’яті) без запису на диск, досягаючи підвищення прав за допомогою експлойту (T1068).

  3. Результат – Випромінювання RAT:
     Після завантаження в пам’ять Remcos RAT встановлює мережеве з’єднання з сервером C2.

  Критична телеметрія, що генерується, – це подія створення процесу де:

  • Зображення (Ім’яПроцесу) містить DotNET (dotnet.exe).
  • Командний рядок містить буквальне слово Loader.

  Це задовольняє правило Sigma selection_dotnet_loader.

• Регресійний тестовий скрипт:

  # ---------------------------------------------------------
  # Скрипт симуляції – Завантажувач DotNET зі стеганографією (T1027.003)
  # ---------------------------------------------------------
  # 1. Створити муляжне стеговське зображення (місце за резервом ембедінг не потрібен)
  $stegoPath = "$env:TEMPmalicious.jpg"
  Copy-Item "$env:SystemRootWebWallpaperWindowsimg0.jpg" $stegoPath -Force
  
  # 2. Виконати завантажувач .NET із необхідним флагом
  #    Використовуючи легітимний dotnet.exe для імітації імені зображення "DotNET".
  #    Аргумент "Loader" викликає правило Sigma.
  $loaderArgs = "`"$stegoPath`" Loader"
  Write-Host "[*] Запуск завантажувача dotnet з аргументом: $loaderArgs"
  
  Start-Process -FilePath "dotnet.exe" -ArgumentList $loaderArgs -NoNewWindow
  
  # 3. Зачекайте короткий період, щоб процес був захоплений Sysmon
  Start-Sleep -Seconds 5
  
  # 4. НЕОБОВ'ЯЗКОВО: Симулюйте випромінювання RAT (мережевий трафік) – не вимагається для тесту правила
  # ---------------------------------------------------------
  Write-Host "[*] Симуляція завершена. Перевірте сповіщення в SIEM."

• Команди очищення:

  # ---------------------------------------------------------
  # Очищення – видалити тимчасове стеговське зображення та зупинити усі процеси завантажувача
  # ---------------------------------------------------------
  $stegoPath = "$env:TEMPmalicious.jpg"
  
  # Видалити тимчасове зображення
  if (Test-Path $stegoPath) {
      Remove-Item $stegoPath -Force
      Write-Host "[*] Видалено $stegoPath"
  }
  
  # Зупинити всі процеси dotnet, запущені цим скриптом (ідентифіковані аргументом "Loader")
  Get-Process -Name dotnet -ErrorAction SilentlyContinue |
      Where-Object { $_.Path -like "*dotnet.exe*" -and $_.StartInfo.Arguments -match "Loader" } |
      ForEach-Object {
          $_.Kill()
          Write-Host "[*] Завершено процес ID $($_.Id)"
      }
  # ---------------------------------------------------------