Erkennung von Nimbus Mantikore und deren Sideloading-Infektionsketten

Zusammenfassung

Nimbus Manticore, auch verfolgt als UNC1549, führte eine gezielte Phishing-Kampagne durch, die gefälschte Rekrutierungsportale nutzte, um eine mehrstufige .NET-Malware-Kette auszuliefern. Der Angriff missbrauchte legitime Microsoft Visual Studio-Komponenten zusammen mit AppDomain-Hijacking, um eine benutzerdefinierte DLL zu laden, die dann eine zweite Stufe DLL bereitstellte und durch eine geplante Aufgabe Persistenz schuf. Die Command-and-Control-Infrastruktur wurde auf Azure-basierten Domains gehostet. Die Kampagne zielte hauptsächlich auf Luft- und Raumfahrt- sowie Verteidigungsorganisationen im Nahen Osten und Europa ab.

Untersuchung

Forscher rekonstruierten die vollständige Infektionskette, beginnend mit dem LinkedIn-Köder und weiter über das ZIP-Archiv, die veränderte setup.exe.config Datei und den verschlüsselten Stager. Ihre Analyse zeigte den Missbrauch eines umbenannten ServiceHub.VSDetouredHost.exe, des TOTPGuard.dll Loaders, eines AES-verschlüsselten PE-Headers und eine beim Logon getriggerten geplanten Aufgabe namens BackupCheck. Netzwerk-Indikatoren wiesen auch auf mehrere Azure-gehostete Domains hin, die für Command-and-Control-Kommunikation verwendet wurden.

Minderung

Organisationen sollten Mitarbeiter schulen, um rekrutierungsthematische Social-Engineering-Taktiken zu erkennen, neu registrierte Domains blockieren oder genau überwachen und AppLocker oder gleichwertige Kontrollen auf benutzerbeschreibbaren Verzeichnissen durchsetzen. Verteidiger sollten auch nach geplanten Aufgaben mit dem Namen BackupCheck oder Ausführungen mit dem doit Argument Ausschau halten. Es wird auch empfohlen, das Verhalten von AppDomain-Hijacking in .NET-Anwendungen sowie verdächtigen Traffic zu Azure-gehosteten Command-and-Control-Domains zu überwachen.

Reaktion

Wenn verwandte Aktivitäten erkannt werden, isolieren Sie den betroffenen Endpunkt, sammeln Sie die schädlichen Binärdateien und die Definition der geplanten Aufgab, und blockieren Sie die zugehörigen Azure-Domains sowie das gefälschte Rekrutierungsportal. Ermittler sollten eine forensische Überprüfung des AppData2FAGuard Verzeichnisses durchführen, die Persistenzaufgabe entfernen und nach ähnlichen Aktivitäten auf anderen Systemen mit den gleichen YARA-Regeln suchen. Die Erkennungslogik sollte dann mit den neu identifizierten Indikatoren aktualisiert werden.

Simulation ausführen

Voraussetzung: Der Telemetrie- und Vorflug-Check muss bestanden haben.

Begründung: In diesem Abschnitt wird die genaue Ausführung der Opponententechnik (TTP) beschrieben, die die Erkennungsregel auslöst. Die Befehle und Erzählungen MÜSSEN die identifizierten TTPs direkt reflektieren und sollen die genaue Telemetrie erzeugen, die von der Erkennungslogik erwartet wird.

• Angriffserzählung & Befehle:
  Ein Angreifer hat eine Kopie des legitimen Visual Studio setup.exe Binärdatei erhalten, diese umbenannt in setup.exe (den Namen unverändert lassen, um keinen Verdacht zu erregen), und in einem beschreibbaren Verzeichnis abgelegt. Sie erstellen eine bösartige DLL namens TOTPGuard.dll , die die Nutzlast enthält. Um die AppDomain zu hijacken, betten sie den String AppDomainInjection im PDB-Pfadargument ein. Der Angreifer startet dann die ausführbare Datei mit der folgenden Befehlszeile:

  C:Tempsetup.exe /install /doit /dll "C:TempTOTPGuard.dll" /pdb "C:TempAppDomainInjection.pdb"

  Diese genaue Ausführung erfüllt alle drei CommandLine|contains Bedingungen in der Sigma-Regel, wodurch die Regel beim ProcessCreate-Ereignis ausgelöst wird.

• Regression Test-Skript:

  # -------------------------------------------------
  # Regressionsskript, um die Nimbus Manticore-Erkennung auszulösen
  # -------------------------------------------------
  $exePath   = "C:Tempsetup.exe"
  $dllPath   = "C:TempTOTPGuard.dll"
  $pdbPath   = "C:TempAppDomainInjection.pdb"
  
  # Sicherstellen, dass die Dateien existieren (Dummys für den Test erstellen)
  New-Item -ItemType File -Path $exePath -Force | Out-Null
  New-Item -ItemType File -Path $dllPath -Force | Out-Null
  New-Item -ItemType File -Path $pdbPath -Force | Out-Null
  
  # Den bösartigen Befehlszeilenbefehl bauen
  $arguments = @(
      "/install"
      "/doit"
      "/dll `"$dllPath`""
      "/pdb `"$pdbPath`""
  ) -join " "
  
  Write-Host "Starte bösartige setup.exe mit Argumenten:"
  Write-Host $arguments
  
  # Den Prozess ausführen (wird sofort beendet, da Dummy-Exe nichts tut)
  Start-Process -FilePath $exePath -ArgumentList $arguments -PassThru | Out-Null

• Bereinigungskommandos:

  # -------------------------------------------------
  # Bereinigungsartefakte, die für den Regressionstest erstellt wurden
  # -------------------------------------------------
  $paths = @(
      "C:Tempsetup.exe",
      "C:TempTOTPGuard.dll",
      "C:TempAppDomainInjection.pdb"
  )
  
  foreach ($p in $paths) {
      if (Test-Path $p) {
          Remove-Item -Path $p -Force
          Write-Host "Entfernt $p"
      }
  }