Атака на ланцюг постачання STX RAT вражає гаманці та X-VPN

SOC Prime Team

Стежити

Атака на ланцюг постачання STX RAT вражає гаманці та X-VPN

Detection stack

AIDR
Alert
ETL
Query

Звіт про загрози
Потік атаки
Виявлення
Симуляції

Резюме

Звіт описує багатоступеневу завантажувальну структуру, яку використовує підтримувана державою Росії група Gamaredon для збереження довгострокового доступу в умовах українського уряду та критичної інфраструктури. Завантажувачі доставляються через легітимні хмарні платформи та служби обміну повідомленнями, зберігають дані управління та контролю в реєстрі Windows, і спираються на альтернативні потоки даних та заплановані завдання для запуску пізніших етапів.

Розслідування

Sekoia.io реконструювала три етапи завантажувачів на основі VBScript, які отримують додатковий код з dead-drop резолверів, розміщених на таких службах, як Telegram, Telegraph і Check-Host. Другий етап записує корисне навантаження у ADS під %TEMP% і створює заплановане завдання, у той час як третій етап запускає прихований процес PowerShell, що завантажує та запускає остаточний модуль крадія GammaSteel.

Захист

Захисники повинні стежити за підозрілими записами в реєстрі під HKCUConsole, непередбаченими запланованими завданнями з назвою DsSvcCleanup, ненормальним використанням альтернативних потоків даних в %TEMP%, та мережевим трафіком до відомих доменів Cloudflare, Telegram та Check-Host. Виконання незареєстрованих файлів VBScript та PowerShell, які використовують закодовані команди, також має бути заблокованим або суворо обмеженим.

Реакція

У разі виявлення компромісу, негайно ізолюйте уражені хости, зберіть відповідні ключі реєстру та визначення запланованих завдань, збережіть файли, пов’язані з ADS, і блокуйте ідентифіковані домени та IP-адреси командного і контрольно-управляючого сервера. Виконайте судову експертизу і шукайте крадія GammaSteel як у пам’яті, так і на диску.

"graph TB %% Class Definitions classDef technique fill:#99ccff classDef operator fill:#ff9900 classDef tool fill:#cccccc %% Node definitions initial_driveby["Техніка – T1189 Компрометація через Driveu2011by Опис: Злочинцювати веб-сайт для доставки зловмисного контенту при відвідуванні користувачем."] class initial_driveby technique c2_deadDrop["Техніка – T1102.001 Dead Drop Резолвер Веб-Сервісів Опис: Використання легітимних веб-сервісів для обміну даними управління і контролю."] class c2_deadDrop technique c2_dynamic["Техніка – T1568 Динамічна Резолюція Опис: Динамічна резолюція C2 адрес для уникнення виявлення."] class c2_dynamic technique execution_vbscript["Техніка – T1216.002 Виконання Проксі Скрипту Системи VBScript Опис: Виконання зловмисного VBScript через проксі системи."] class execution_vbscript technique persistence_task["Техніка – T1053.005 Заплановане Завдання Опис: Створення запланованого завдання для підтримки персистенції."] class persistence_task technique priv_esc_reflect["Техніка – T1620 Відбиваюче Завантаження Коду PowerShell Опис: Відбиваюче завантаження зловмисного коду у пам’ять за допомогою PowerShell."] class priv_esc_reflect technique propagation_usb["Техніка – T1091 Реплікація Через Знімні Носії Опис: Копіювання зловмисних файлів на USB-носії для розповсюдження."] class propagation_usb technique %% Connections showing attack flow initial_driveby –>|призводить до| c2_deadDrop c2_deadDrop –>|використовує| c2_dynamic c2_dynamic –>|включає| execution_vbscript execution_vbscript –>|встановлює| persistence_task persistence_task –>|сприяє| priv_esc_reflect execution_vbscript –>|включає| propagation_usb "

Потік Атаки

Наратив атаки та команди:
Зловмисник, зламавши сесію користувача, повинен оновити свою C2 кінцеву точку, щоб майбутні маяковання досягали нового сервера. Gamaredon зберігає URL у відомому ключі реєстру під HKCUConsole. Атакувач використовує рідний PowerShell (Set-ItemProperty), щоб записати новий URL, обходячи використання будь-яких сторонніх інструментів, тим самим залишаючись «живим від землі». Ця дія генерує Подія установки значення реєстру (ПодіяID 13) з повним шляхом, що збігається з патерном | містить у реєстрі Sigma фільтром.
```
# Симульоване оновлення C2 URL Gamaredon – запис у підконтрольний ключ
$c2Url = "https://c2.gamaredon.example.com/payload"
$targetKey = "HKCU:ConsoleHistoryURL"
New-Item -Path $targetKey -Force | Out-Null
Set-ItemProperty -Path $targetKey -Name "URL" -Value $c2Url
```

Скрипт тестування регресії: (PowerShell – самостійний)

<#
Симулює оновлення C2 URL Gamaredon в ключі реєстру, що відстежується правилом Sigma.
#>

# Параметри (за потреби скорегуйте)
$c2Url    = "https://c2.gamaredon.example.com/payload"
$regPath  = "HKCU:ConsoleHistoryURL"
$valueName = "URL"

# Переконайтеся, що ключ існує
if (-not (Test-Path $regPath)) {
    New-Item -Path $regPath -Force | Out-Null
}

# Запис зловмисного C2 URL
Set-ItemProperty -Path $regPath -Name $valueName -Value $c2Url

Write-Host "[*] C2 URL записано у $regPath$valueName"

Команди прибирання: (PowerShell)

# Видалити симульований ключ/значення, щоб залишити систему чистою
$regPath = "HKCU:ConsoleHistoryURL"
if (Test-Path $regPath) {
    Remove-ItemProperty -Path $regPath -Name "URL" -ErrorAction SilentlyContinue
    # За бажанням видаліть ключ повністю
    Remove-Item -Path $regPath -Recurse -Force -ErrorAction SilentlyContinue
    Write-Host "[*] Вичищено симульовані артефакти реєстру."
}

Приєднуйтесь до платформи Detection as Code від SOC Prime щоб покращити видимість загроз, найбільш актуальних для вашого бізнесу. Щоб допомогти вам розпочати та отримати негайну цінність, забронюйте зустріч зараз з експертами SOC Prime.

Приєднатися безкоштовно