PulseRAT durch eine Köderpartnerschaft zwischen VAE und Indien geliefert

Zusammenfassung

Ein bösartiges ISO-Archiv, das als strategische Partnerschaftsdatei zwischen den VAE und Indien getarnt ist, wird verwendet, um einen .NET-basierten Remote Access Trojaner zu liefern, bekannt als PulseRAT. Die Malware wird durch einen im ISO eingebetteten Dropper installiert und nutzt ein Google-Spreadsheet als Kommando- und Kontrollkanal. Um den Zugriff zu behalten, erstellt er eine geplante Aufgabe namens WindowsVaultSyncService, baut ein Verzeichnis für den Tresor unter %LOCALAPPDATA%auf und benutzt einen Mutex, um mehrfache Ausführungen auf dem gleichen Host zu verhindern. Die Kampagne nutzt einen Köder, der mit einer hochkarätigen Verteidigungsbeziehung zwischen den Vereinigten Arabischen Emiraten und Indien verbunden ist.

Untersuchung

Der Analyst entpackte die ISO-Datei, identifizierte die LNK-Verknüpfung, die für das Starten der ausführbaren Datei verantwortlich ist, und analysierte den Dropper rückwärts, um seine Nutzlast und Persistenzlogik zu entschlüsseln. Eine weitere Analyse von PulseRAT zeigte, wie es Google Sheets für Kommando- und Kontrolle verwendet, seinen Mutex generiert, PowerShell im Prozessspeicher ausführt und seine geplante Aufgabe zur Persistenz erstellt. Dateinamen, Dateisystempfade, Mutex-Muster und die Spreadsheet-Kennung wurden alle dokumentiert, um die Detektionstechnik zu unterstützen.

Minderung

Organisationen sollten die Ausführung unbekannter Binärdateien blockieren, die von Wechselmedien oder eingehängten Medien gestartet werden, und die Erstellung von geplanten Aufgaben mit Namen WindowsVaultSyncServiceüberwachen. Anwendungskontrolle sollte für Binärdateien, die von %LOCALAPPDATA%MicrosoftVaultaus laufen, durchgesetzt werden, und Verteidiger sollten Google Sheets API-Traffic auf den Zugriff auf unautorisierte Konten oder unerwartete Spreadsheet-Aktivitäten überprüfen. Jede bösartige geplante Aufgabe sollte entfernt werden, und die vaultsvc.exe Datei sollte von betroffenen Systemen gelöscht werden.

Reaktion

Wird eine PulseRAT-Aktivität erkannt, sollte der betroffene Endpunkt sofort isoliert werden, flüchtiger Speicher und Disk-Images gesammelt sowie nach den dokumentierten Indikatoren eines Kompromisses gesucht werden. Die bösartige geplante Aufgabe sollte deaktiviert und entfernt, das Verzeichnis gelöscht und alle kompromittierten Google-Dienste-Konten zurückgesetzt werden. Eine vollständige forensische Überprüfung sollte ebenfalls durchgeführt werden, um mögliche laterale Bewegungen zu identifizieren, und relevante Interessensgruppen in den VAE und Indien sollten informiert werden.

Simulation Ausführung

Voraussetzung: Der Telemetrie- & Basislinienlösungs-Check muss bestanden haben.

• Angriffsbericht & Befehle:
  Der Angreifer hat ein Benutzerkonto kompromittiert und eine bösartige „PulseRAT“-DLL auf dem Host platziert. PulseRAT wird in einen legitimen Prozess (z. B. explorer.exe) geladen und erstellt einen PowerShell Runspace (In-Prozess-Ausführung), um das Erscheinen eines sichtbaren powershell.exezu vermeiden. Anschließend ruft es ein Base64-codiertes PowerShell-Payload aus einem von Angreifern kontrollierten Google Sheet ab, dekodiert und führt es innerhalb des Runspaces aus. Dies generiert einen einzigen EventID 4104-Eintrag, der sowohl die Marker-Zeichenfolge „System.Management.Automation.Runspaces“ (aus der Runspace-Erstellung) als auch das Wort „base64“ (aus dem dekodierten Payload) enthält, was die Sigma-Regel erfüllt.

• Regressionstest-Skript:

  # PulseRAT-Stil In-Prozess PowerShell-Ausführung (Simulation)
  # ---------------------------------------------------------
  # 1. Erstelle einen PowerShell Runspace (In-Prozess)
  $runspace = [runspacefactory]::CreateRunspace()
  $runspace.Open()
  
  # 2. Erstelle einen Base64-codierten Payload (Simulation von Angreifer-kontrollierten Daten)
  $payload = 'Write-Host "Compromised by PulseRAT"'   # einfacher Payload
  $bytes   = [System.Text.Encoding]::Unicode.GetBytes($payload)
  $b64     = [Convert]::ToBase64String($bytes)
  
  # 3. Erstelle einen Skriptblock, der den Payload dekodiert und ausführt
  $script = @"
  `$b64 = '$b64'
  `$decoded = [System.Text.Encoding]::Unicode.GetString([Convert]::FromBase64String(`$b64))
  Invoke-Expression `$decoded
  "@
  
  # 4. Erstelle eine PowerShell-Pipeline innerhalb des Runspaces und führe sie aus
  $powershell = [powershell]::Create()
  $powershell.Runspace = $runspace
  $null = $powershell.AddScript($script).Invoke()
  $powershell.Dispose()
  $runspace.Close()

• Aufräumbefehle:

  # Entferne den Runspace und gebe Ressourcen frei (falls vorhanden)
  if ($runspace -and $runspace.RunspaceStateInfo.State -ne 'Closed') {
      $runspace.Close()
  }
  Remove-Variable -Name runspace -ErrorAction SilentlyContinue
  Remove-Variable -Name powershell -ErrorAction SilentlyContinue