Кампанія атак на основі драйвера PoisonX націлюється на японські організації

Резюме

Кампанія, спостережена у квітні 2026 року, використовувала фішингові електронні листи з шкідливими файлами LNK або завантаженнями виконуваних файлів, розміщеними на Google Cloud Storage. Доставлене шкідливе ПО встановлювало драйвер ядра під назвою PoisonX разом із модульною RAT на ім’я 10FXRAT, дозволяючи зловмисникам отримувати привілеї рівня ядра, вимикати засоби безпеки та приховувати шкідливу активність. Пізніші варіанти також пристосували тактики BYOVD через легітимні підписані драйвери, такі як EneIo64.sys and procexp.sys. Активність спостерігалася, спрямованою на організації в Японії та Китаї.

Розслідування

Звіт описує весь ланцюжок виконання, починаючи з завантажувача на основі LNK, який викликає curl.exe, а потім переходячи до компонентів PXDropper, що розгортають драйвер PoisonX та модулі 10FXRAT. Він також описує процедури IOCTL, які використовуються для завершення процесів, пов’язаних з безпекою, і приховування мережевого трафіку. Дослідники задокументували перевірки антианалізу, зміни в реєстрі, створення сервісів і методи стійкості, а також перелічили жорстко закодовані IP-адреси командних серверів, пов’язаних з операцією.

Захист

Захисники повинні стежити за несподіваною активністю встановлення драйверів, особливо драйверів, які не підписані або підозріло підписані, та за створенням сервісів із випадковими назвами, схожими на HID-файли. Виявлення також має охоплювати зміни в реєстрі, які додають виключення Microsoft Defender або відключають служби Defender. Виїздний трафік до виявлених діапазонів IP-адрес командних серверів повинен бути заблокований, а моніторинг мережі повинен шукати значення 0x58463031 в TCP-пакетах.

Реакція

У разі виявлення цієї активності, негайно ізолюйте уражену кінцеву точку, відвантажте драйвер PoisonX, де це можливо, і завершите всі процеси 10FXRAT. Відновіть змінені налаштування реєстру, увімкніть захисти Microsoft Defender і замініть модифіковані файли чистими версіями з надійних джерел. Слід провести повне судово-медичне розслідування для виявлення механізмів стійкості та перевірки трафіку до відомих серверів командного керування.

Виконання симуляції

Передумова: Перевірка телеметрії та базової лінії повинна бути пройденою.

Опис: У цьому розділі детально описується точне виконання техніки нападника (TTP), призначеної для спрацювання правила виявлення. Команди та наратив ПОВИННІ безпосередньо відображати виявлені TTP та мати на меті генерувати точну телеметрію, очікувану логікою виявлення.

• Опис атаки та команди:
  Атакуючий спочатку впроваджує користувацьке шкідливе навантаження в usoclient64.exe для отримання доступу до довіреного процесу (T1574.009). З викраденим процесом вони виконують однорядковий скрипт PowerShell, який додає папку з шкідливим навантаженням до списку виключень Windows Defender (T1564.012). Нарешті, вони відключають основні сервіси безпеки, використовуючи ланцюговий виклик cmd.exe який зупиняє Windows Defender, Центр безпеки Windows та будь-яке стороннє антивірусне ПЗ (T1547.001 забезпечення через порушення сервісу).

  1. Холоуінг процесів / впровадження – симулювати запуск usoclient64.exe з PowerShell скриптом, що використовує sleep (представляє впроваджений код).
  2. Додати виключення Defender – команда PowerShell, точно відповідаюча рядку правила.
  3. Зупинити сервіси безпеки – cmd.exe однорядковий, що зупиняє сервіси.

• Скрипт регресійного тестування:

  # -------------------------------------------------------------------------
  #  Скрипт симуляції – активує правило Sigma для поведінки, схожої на 10FXRAT
  # -------------------------------------------------------------------------
  
  # 1. Симуляція впровадження в usoclient64.exe (заповнювач для холоуінгу процесу)
  $usoclient = "$env:SystemRootSystem32usoclient64.exe"
  Write-Host "[*] Запуск usoclient64.exe (симульоване впровадження)..."
  Start-Process -FilePath $usoclient -ArgumentList "/RunDll32" -WindowStyle Hidden
  
  # 2. Команда PowerShell, що додає шлях виключення Defender (відповідає правилу)
  Write-Host "[*] Додавання шляху виключення Windows Defender..."
  powershell.exe -NoP -NonI -W Hidden -C "Add-MpPreference -ExclusionPath 'C:TempMalicious'"
  
  # 3. Вимкнення сервісів безпеки через cmd (відповідає правилу)
  Write-Host "[*] Вимкнення сервісів безпеки..."
  cmd.exe /c "net stop WinDefend /y >nul 2>&1 & net stop wscsvc /y >nul 2>&1 & net stop Sense /y >nul 2>&1"
  
  Write-Host "[+] Симуляція завершена. Перевірте попередження в SIEM."

• Команди очищення:

  # -------------------------------------------------------------------------
  #  Очищення – відновлює нормальні параметри безпеки
  # -------------------------------------------------------------------------
  
  # Видалити виключення Defender
  powershell.exe -NoP -NonI -W Hidden -C "Remove-MpPreference -ExclusionPath 'C:TempMalicious'"
  
  # Перезапустити зупинені сервіси
  cmd.exe /c "net start WinDefend >nul 2>&1 & net start wscsvc >nul 2>&1 & net start Sense >nul 2>&1"
  
  # Опціонально вбити екземпляр usoclient64.exe
  Get-Process -Name usoclient64 -ErrorAction SilentlyContinue | Stop-Process -Force
  
  Write-Host "[+] Очищення завершено."