Тактики UNC1549: Іранська APT, що націлюється на аерокосмічну та оборонну промисловість

SOC Prime Team

Стежити

Тактики UNC1549: Іранська APT, що націлюється на аерокосмічну та оборонну промисловість

Detection stack

AIDR
Alert
ETL
Query

Звіт про загрози
Потік атаки
Виявлення
Симуляції

Резюме

UNC1549 — це група іранського кібершпіонажу, що спрямована на глобальний ланцюг поставок в аерокосмічній, авіаційній та оборонній галузях. Група проводить складні фішингові операції, використовуючи підроблені кар’єрні портали на основі React, щоб доставити багатозахідне спеціалізоване шкідливе ПЗ. Кампанії зосереджені на крадіжці облікових даних, ексфільтрації даних та збереженні тривалої присутності в організаціях із високою цінністю.

Розслідування

Звіт описує еволюцію роботи UNC1549 з 2022 до кінця 2025 року, підкреслюючи зміну від переважно регіональних цілей на Близькому Сході до ширшого фокусу на глобальному ланцюгу поставок в аерокосмічній галузі. Аналітики ідентифікували кілька спеціалізованих інструментів, зокрема MiniJunk, MiniBrowse, SIGHTGRAB та TRUSTRAP. Технічний аналіз також виявив передові методи ухилення, такі як заповнення бінарного коду та захоплення порядку пошуку DLL.

Захист

Організації повинні впровадити потужне фільтрування електронної пошти для виявлення лінків спрямованого фішингу та перевірки легітимності кар’єрних порталів. Покращення видимості кінцевих точок для виявлення побічного завантаження DLL, несанкціонованих змін у реєстрі та підозрілої активності PowerShell є важливим. Моніторинг несанкціонованих сеансів RDP та зворотних SSH тунелів також може допомогти зменшити ризик бокового руху та командно-контрольної діяльності.

Відповідь

Якщо активність UNC1549 виявлена, відповідачі повинні негайно ізолювати уражені кінцеві точки, щоб запобігти подальшому боковому руху через RDP. Повний аудит запланованих задач та ключів запуску Windows Registry слід провести для ідентифікації механізмів стійкості. Команди також повинні перевірити журнали контролерів доменів на наявність активності DCSync та відстежувати незвичний вихідний HTTPS або SSH трафік до відомої командно-контрольної інфраструктури.

graph TB %% Визначення класів classDef action fill:#99ccff classDef tool fill:#cccccc classDef technique fill:#f9f,stroke:#333,stroke-width:2px classDef exfil fill:#ff9999 %% Фаза початкового доступу action_phishing[“Дія – T1566.002 Фішинг: Посилання цільового фішингу Цільові електронні листи з шахрайськими React-порталами вакансій, що імітують Boeing та Airbus.”] class action_phishing action action_download[“Дія: Завантаження шкідливого архіву Користувачі завантажують архіви після введення облікових даних.”] class action_download action %% Фаза виконання та розвідки tech_powershell[“Техніка – T1059.001 Інтерпретатор команд і скриптів: PowerShell Використовується для мережевої розвідки та переліку Active Directory.”] class tech_powershell technique tech_cmd[“Техніка – T1059.003 Інтерпретатор команд і скриптів: Windows Command Shell Використовується для мережевої розвідки та переліку Active Directory.”] class tech_cmd technique action_recon[“Дія: Перелік Active Directory Виконання команд, таких як net user.”] class action_recon action %% Фаза закріплення tech_schtask[“Техніка – T1053.005 Заплановане завдання/робота: Scheduled Task Виконання MigAutoPlay.exe із userenv.dll, завантаженою через DLL side-loading.”] class tech_schtask technique tech_registry[“Техніка – T1547.001 Автозапуск під час завантаження або входу: Ключі Run реєстру / Startup Folder Запис у ключі реєстру для маскування під OneDrive.”] class tech_registry technique %% Фаза обходу захисту tech_obfuscation[“Техніка – T1027 Обфусковані файли або інформація Обфускація на рівні компілятора та Binary Padding (T1027.001).”] class tech_obfuscation technique tech_masquerade[“Техніка – T1036 Маскування Використання назв файлів, схожих на легітимні служби.”] class tech_masquerade technique tech_log_clear[“Техніка – T1070.001 Видалення індикаторів: Очищення журналів подій Windows Видалення історії RDP-підключень із системного реєстру.”] class tech_log_clear technique tech_hijack[“Техніка – T1574.001 Перехоплення потоку виконання: DLL Search Order Hijacking Розміщення шкідливих DLL поруч із легітимними бінарними файлами.”] class tech_hijack technique %% Фаза доступу до облікових даних tool_mimikatz[“Інструмент – Модифікований Mimikatz Використовується для T1003.006 DC Sync для отримання NTLM-хешів.”] class tool_mimikatz tool tool_minibrowse[“Інструмент – MiniBrowse Використовується для T1555.003 Облікові дані з веббраузерів для викрадення даних Chrome та Edge.”] class tool_minibrowse tool tool_trustrap[“Інструмент – TRUSTRAP Збір облікових даних через фальшиві вікна автентифікації.”] class tool_trustrap tool %% Фаза бічного переміщення tech_rdp[“Техніка – T1021.001 Віддалені служби: Remote Desktop Protocol Доступ до систем через RDP.”] class tech_rdp technique tech_rdp_hijack[“Техніка – T1563.002 Перехоплення сесії віддаленої служби: RDP Hijacking Доступ до активних користувацьких сесій.”] class tech_rdp_hijack technique %% Фаза збору tool_sightgrab[“Інструмент – SIGHTGRAB Використовується для T1113 Знімок екрана через періодичне створення скриншотів.”] class tool_sightgrab tool %% Фаза C2 та ексфільтрації tech_tunneling[“Техніка – T1572 Тунелювання протоколу Використання зворотних SSH-тунелів для обходу телеметрії.”] class tech_tunneling technique tech_exfil[“Техніка – T1041 Ексфільтрація через канал C2 Передача викрадених облікових даних і файлів через HTTPS.”] class tech_exfil exfil %% З’єднання action_phishing –>|призводить_до| action_download action_download –>|активує| tech_powershell action_download –>|активує| tech_cmd tech_powershell –>|виконує| action_recon tech_cmd –>|виконує| action_recon action_recon –>|встановлює| tech_schtask action_recon –>|встановлює| tech_registry tech_schtask –>|використовує| tech_hijack tech_registry –>|використовує| tech_masquerade tech_powershell –>|застосовує| tech_obfuscation tech_cmd –>|застосовує| tech_obfuscation tech_obfuscation –>|включає| tech_masquerade tech_masquerade –>|приховує_через| tech_log_clear action_recon –>|призводить_до| tool_mimikatz action_recon –>|призводить_до| tool_minibrowse action_recon –>|призводить_до| tool_trustrap tool_mimikatz –>|дозволяє| tech_rdp tool_minibrowse –>|дозволяє| tech_rdp tool_trustrap –>|дозволяє| tech_rdp tech_rdp –>|призводить_до| tech_rdp_hijack tech_rdp_hijack –>|призводить_до| tool_sightgrab tool_sightgrab –>|потребує| tech_tunneling tech_tunneling –>|полегшує| tech_exfil

Потік атаки

Наратив атаки та команди: Супротивник, який імітує актора UNC1549, прагне встановити стійкість на зламаній робочій станції. Вони вибирають приховати свій вантаж, створивши запис у реєстрі під ключем, який здається, що належить до легітимного процесу оновлення OneDrive (OneDriveCoUpdate). Щоб уникнути простого виявлення командного рядка, вони обертають свою реалізацію у блок скриптів PowerShell, що містить рядок FileCoAuth.exe, імітуючи погано захаращену команду, що відповідає сигнатурі правила виявлення.

Сценарій регресійного тестування:

# Скрипт симуляції: Стійкість та затьмарення UNC1549
# Цей скрипт імітує специфічний шлях реєстру та візерунки рядків PowerShell, визначені у правилі.

$registryPath = "HKCU:SoftwareMicrosoftWindowsCurrentVersionRun"
$regName = "OneDriveCoUpdate"
$payload = "powershell.exe -ExecutionPolicy Bypass -WindowStyle Hidden -Command "$cmd = 'FileCoAuth.exe'; Start-Process $cmd""

Write-Host "[+] Спроба створити зловмисний ключ автозапуску реєстру..."
New-ItemProperty -Path $registryPath -Name $regName -Value $payload -PropertyType String -Force

Write-Host "[+] Виконання затьмареної команди PowerShell для активації виявлення..."
# Включення "FileCoAuth.exe" є обов'язковим для активації "selection_obfuscation" частини правила
powershell.exe -Command "& { $encoded = 'FileCoAuth.exe'; Write-Host 'Виконання' $encoded }"

Команди очистки:

# Скрипт очистки
$registryPath = "HKCU:SoftwareMicrosoftWindowsCurrentVersionRun"
$regName = "OneDriveCoUpdate"

Write-Host "[-] Видалення зловмисного запису у реєстрі..."
Remove-ItemProperty -Path $registryPath -Name $regName -ErrorAction SilentlyContinue
Write-Host "[+] Очистка завершена."

Приєднуйтесь до платформи Detection as Code від SOC Prime щоб покращити видимість загроз, найбільш актуальних для вашого бізнесу. Щоб допомогти вам розпочати та отримати негайну цінність, забронюйте зустріч зараз з експертами SOC Prime.

Приєднатися безкоштовно