GammaSteel: Einblick in die sich entfaltende Malware-Kette von Gamaredon

SOC Prime Team

Folgen

GammaSteel: Einblick in die sich entfaltende Malware-Kette von Gamaredon

Detection stack

AIDR
Alert
ETL
Query

Bedrohungsbericht
Angriffsablauf
Erkennungen
Simulationen

Zusammenfassung

Der Bericht beschreibt GammaSteel, eine neue Gamaredon (UAC-0010) Eindringungskette, basierend auf einem dateilosen PowerShell Stealer. Die Malware speichert 71 verschlüsselte Funktionen im HKCUPrinters Registry-Schlüssel und schützt sie mit Windows DPAPI. Sie sammelt Dokumente von lokalen Laufwerken, USB-Medien und aktiv bearbeiteten Dateien, dann dedupliziert sie die Daten mit MD5, bevor sie sie an den legitimen S3-kompatiblen Dienst Tebi.ioexfiltriert, mit Fallback zu festcodierten russischen Domains. Die breitere Infrastruktur stützt sich auch auf Dead-Drop-Resolver, die auf öffentlichen Plattformen wie Telegram, Telegra.ph, Write.as, Rentry.co und Mastodon sowie auf dynamischen DNS-Diensten gehostet sind. Die Kampagne zielt weiterhin auf ukrainische Regierungs- und kritische Infrastruktureinrichtungen.

Untersuchung

Sekoia.io analysierte mehr als 70 Artefakte, rekonstruierte den vollständigen PowerShell-Dropper und identifizierte persistence in der Registry, ein Mutex, versteckte geplante PowerShell-Ausführungen und ein mehrschichtiges Exfiltrationsschema. Die Forscher kartierten die Dead-Drop Resolver-Infrastruktur, katalogisierten 115 IP-Adressen, vier Domains und mehrere S3-Berechtigungssätze und beobachteten automatisierte Updates, die über Mastodon-Posts durchgeführt wurden. Sie stellten auch Ähnlichkeiten mit der InvisiMole-Aktivität 2020 fest, insbesondere die Verwendung von DPAPI-verschlüsselten Lasten, die in der Registry gespeichert sind.

Abschwächung

Organisationen sollten auf ungewöhnliche Schreibvorgänge in HKCUPrintersachten, die Erstellung versteckter PowerShell-Prozesse und die Verwendung des Globalassembly307 Mutex. Ausgehender Datenverkehr zu dem identifizierten S3-Endpunkt s3.tebi.io und der Fallback-Infrastruktur wie justsstop.ru and 165.22.170.129 sollte blockiert werden. Verteidiger sollten auch Detektion für den spezifischen iPhone-Stil User-Agent-String und für Registry Run-Einträge, die PowerShell-Skripte aufrufen, einsetzen.

Reaktion

Wenn GammaSteel-Aktivität erkannt wird, isolieren Sie den betroffenen Host, sammeln Sie den HKCUPrinters Registry-Hive, extrahieren Sie die DPAPI-geschützten Nutzlasten und entschlüsseln Sie sie mit dem Master-Schlüssel des Opfers, sofern möglich. Durchsuchen Sie die Umgebung nach verwandten Artefakten, blockieren Sie die identifizierten Command-and-Control-URLs und Domains, setzen Sie kompromittierte Anmeldeinformationen zurück und führen Sie eine vollständige forensische Überprüfung durch, um weitere bösartige Module zu identifizieren.

"graph TB %% Class definitions classDef technique fill:#e6f7ff classDef process fill:#ffebcc classDef action fill:#c2f0c2 classDef tool fill:#dddddd classDef storage fill:#ffe6e6 classDef network fill:#d9d9ff classDef data fill:#f0e68c %% Nodes u2013 techniques tech_T1027_009["Technik – T1027.009 Eingebettete Nutzlasten Verschleiert die Nutzlast innerhalb einer anderen Datei"] class tech_T1027_009 technique tech_T1027_007["Technik – T1027.007 Dynamische API-Resolution Löst APIs zur Laufzeit auf, um statische Analyse zu vermeiden"] class tech_T1027_007 technique tech_T1027_002["Technik – T1027.002 Softwareverpackung Verpackt bösartigen Code, um seine wahre Natur zu verbergen"] class tech_T1027_002 technique tech_T1027_013["Technik – T1027.013 Verschlüsseltes/Kodiertes File Verschlüsselt Daten mit DPAPI vor der Speicherung"] class tech_T1027_013 technique tech_T1547_001["Technik – T1547.001 Registry Run Keys / Startup Folder Fügt einen Run-Key hinzu, um Persistenz zu erreichen"] class tech_T1547_001 technique tech_T1037_005["Technik – T1037.005 Startup-Elemente Verwendet Startup-Elemente für Persistenz"] class tech_T1037_005 technique tech_T1680["Technik – T1680 Lokale Speicherentdeckung Entdeckt lokale Laufwerke und Benutzerprofile"] class tech_T1680 technique tech_T1135["Technik – T1135 Netzwerkfreigabeentdeckung Findet freigegebene Netzwerkstandorte"] class tech_T1135 technique tech_T1006["Technik – T1006 Direkter Volumenzugriff Greift direkt auf Wechseldatenträger zu"] class tech_T1006 technique tech_T1025["Technik – T1025 Daten von Wechseldatenträgern Sammelt Daten von USB-Geräten"] class tech_T1025 technique tech_T1564_005["Technik – T1564.005 Verstecktes Dateisystem Speichert Dateien an versteckten Orten"] class tech_T1564_005 technique tech_T1005["Technik – T1005 Daten aus dem lokalen System Sammelt Dateien von der lokalen Maschine"] class tech_T1005 technique tech_T1537["Technik – T1537 Datenübertragung zum Cloud-Konto Lädt gestohlene Daten in Cloud-Speicher hoch"] class tech_T1537 technique tech_T1538["Technik – T1538 Cloud-Service-Dashboard Verwendet Cloud-Service-Schnittstellen zur Datenexfiltration"] class tech_T1538 technique tech_T1102_001["Technik – T1102.001 Web Dienst: Dead Drop Resolver Ruft Befehle und Konfigurationen von öffentlichen Webdiensten ab"] class tech_T1102_001 technique tech_T1620["Technik – T1620 Reflektives Code-Laden Lädt und führt zur Laufzeit empfangenen Code aus"] class tech_T1620 technique %% Nodes u2013 actions and components malware_dropper["Malware – Name: Initialer Dropper Beschreibung: Führt verschleierten PowerShell-Skript aus"] class malware_dropper process process_powershell["Prozess – Name: PowerShell Rolle: Führt kodiertes Skript aus"] class process_powershell process storage_dpapi["Speicher – Ort: HKCUPrinters Inhalt: 71 Funktionen verschlüsselt mit DPAPI"] class storage_dpapi storage persistence_runkey["Aktion – Persistenz: Registry Run Schlüssel Schlüssel: HKCUSoftwareMicrosoftWindowsCurrentVersionRun"] class persistence_runkey action process_hidden_ps["Prozess – Name: Versteckte PowerShell Zweck: Liest Orchestierer aus der Registry"] class process_hidden_ps process orchestrator["Aktion – Orchestrierer: Zählt Ressourcen auf und koordiniert Sammlung"] class orchestrator action enumeration["Aktion – Aufzählung: Laufwerke, Profile, Netzwerkfreigaben"] class enumeration action collection["Aktion – Sammlung: Sammelt Dateien von lokalen und Netzwerkorten"] class collection action monitor_usb["Aktion – USB-Überwachung: WMI-Ereignis abonnieren für Wechseldatenträger"] class monitor_usb action staging_folder["Speicher – Versteckter Ordner: Ablagebereich für kopierte Dateien"] class staging_folder storage fs_watcher["Prozess – Name: FileSystemWatcher Funktion: Überwacht nicht-USB-Laufwerke auf Änderungen"] class fs_watcher process deduplication["Aktion – Deduplizierung: Entfernt doppelte Dateien vor der Exfiltration"] class deduplication action upload_s3["Aktion – Hochladen: Sendet Daten an S3-kompatiblen Bucket (tebi.io)"] class upload_s3 network fallback_post["Aktion – Fallback Exfiltration: POST an C2-Domains, die iPhone UA nachahmen"] class fallback_post network dead_drop["Aktion – Dead Drop Resolver: Ruft Konfiguration von Telegram, Telegra.ph, Write.as, Rentry.co, Mastodon ab"] class dead_drop action vbscript_backdoor["Aktion – Sekundäre Hintertür: Führt beliebige VBScript aus HTTP-Antwort aus"] class vbscript_backdoor action %% Connections u2013 flow malware_dropper –>|verwendet| tech_T1027_009 malware_dropper –>|verwendet| tech_T1027_007 malware_dropper –>|verwendet| tech_T1027_002 malware_dropper –>|speichert verschlüsselte Daten| tech_T1027_013 malware_dropper –>|startet| process_powershell process_powershell –>|schreibt verschlüsselte Funktionen in| storage_dpapi storage_dpapi –>|ermöglicht| persistence_runkey persistence_runkey –>|erstellt| tech_T1547_001 persistence_runkey –>|erstellt| tech_T1037_005 persistence_runkey –>|startet| process_hidden_ps process_hidden_ps –>|lädt Orchestrierer aus der Registry| orchestrator orchestrator –>|führt aus| enumeration enumeration –>|umfasst| tech_T1680 enumeration –>|umfasst| tech_T1135 orchestrator –>|sammelt Daten mit| collection collection –>|verwendet| tech_T1005 collection –>|beinhaltet Wechseldatenträger via| tech_T1025 collection –>|beinhaltet direkten Volumenzugriff via| tech_T1006 collection –>|löst aus| monitor_usb monitor_usb –>|kopiert Dateien nach| staging_folder staging_folder –>|ist versteckt durch| tech_T1564_005 staging_folder –>|überwacht durch| fs_watcher fs_watcher –>|erkennt Änderungen und löst aus| deduplication deduplication –>|lädt in die Cloud hoch via| upload_s3 upload_s3 –>|stützt sich auf| tech_T1537 upload_s3 –>|fallback nach| fallback_post fallback_post –>|stützt sich auf| tech_T1538 orchestrator –>|bezieht Updates von| dead_drop dead_drop –>|verwendet| tech_T1102_001 dead_drop –>|liefert| vbscript_backdoor vbscript_backdoor –>|nutzt aus| tech_T1620 %% Styling zuweisungen Klasse Reifen class malware_dropper,process_powershell,process_hidden_ps,fs_watcher,orchestrator,monitor_usb,vbscript_backdoor eingebaute class storage_dpapi,staging_folder eingebaute class persistence_runkey,enumeration,collection,deduplication,upload_s3,fallback_post,dead_drop aktionen class tech_T1027_009,tech_T1027_007,tech_T1027_002,tech_T1027_013,tech_T1547_001,tech_T1037_005,tech_T1680,tech_T1135,tech_T1006,tech_T1025,tech_T1564_005,tech_T1005,tech_T1537,tech_T1538,tech_T1102_001,tech_T1620 technik "

Angriffsablauf

Angriffsbericht & Befehle:
Der Angreifer, der ein niedrig-privilegiertes Benutzerkonto kompromittiert hat, möchte eine verschlüsselte PowerShell-Nutzlast stagen, ohne das Dateisystem zu berühren. Sie schreiben die Base64-kodierte Nutzlast in den Run Schlüssel, damit sie beim nächsten Anmelden ausgeführt wird. Um die einfache Ausschlussregel zu umgehen, verwenden sie absichtlich einen Unter-schlüssel unter HKCUPrinters , das der ausgeschlossene Wert ist, nachahmend das „Drucker-Stage“-Muster, das in Gamaredon-Proben beobachtet wurde. not the excluded value, mimicking the “printer‑staging” pattern observed in Gamaredon samples.

Regressionstest-Skript:

# --------------------------------------------------------------
# Simuliere Gamaredon PowerShell-Registry-Staging (TC-20260608-A1B2C)
# --------------------------------------------------------------

# 1. Definiere einen Base64-kodierten, harmlosen PowerShell-Befehl (z.B. schreibe eine Datei)
$payload = 'Write-Host "Gamaredon-Simulation ausgeführt"' 
$b64 = [Convert]::ToBase64String([Text.Encoding]::Unicode.GetBytes($payload))

# 2. Persistiere die Nutzlast via dem Run-Schlüssel (Persistenz)
$runKey = 'HKCU:SOFTWAREMicrosoftWindowsCurrentVersionRun'
New-ItemProperty -Path $runKey -Name 'GamaredonStager' -Value "powershell -enc $b64" -PropertyType String -Force

# 3. Stage die gleiche Nutzlast in einem „Drucker“-Schlüssel (dateiloses Staging)
$printerKey = 'HKCU:PrintersYxwHku2chu0bznt3kkyAD'  # Hinweis: anderes Suffix zur Umgehung des Ausschlusses
New-Item -Path $printerKey -Force | Out-Null
Set-ItemProperty -Path $printerKey -Name 'EncryptedPS' -Value $b64 -Force

Write-Host "Simulation abgeschlossen – Registry-Einträge erstellt."

Befehle zur Bereinigung:

# Entferne den Run-Schlüssell-Eintrag
Remove-ItemProperty -Path 'HKCU:SOFTWAREMicrosoftWindowsCurrentVersionRun' -Name 'GamaredonStager' -ErrorAction SilentlyContinue

# Entferne Drucker-Staging-Schlüssel
Remove-Item -Path 'HKCU:PrintersYxwHku2chu0bznt3kkyAD' -Recurse -Force -ErrorAction SilentlyContinue

Write-Host "Bereinigung abgeschlossen – Registry-Artefakte entfernt."

Treten Sie der Detection as Code-Plattform von SOC Prime bei um die Sichtbarkeit der für Ihr Unternehmen relevantesten Bedrohungen zu verbessern. Um Ihnen den Einstieg zu erleichtern und unmittelbaren Mehrwert zu erzielen, buchen Sie jetzt ein Treffen mit den Experten von SOC Prime.

Kostenlos beitreten