Prinz Eugen Ransomware: Un’analisi dettagliata di un nuovo encryptor basato su Go

SOC Prime Team

Segui

Prinz Eugen Ransomware: Un’analisi dettagliata di un nuovo encryptor basato su Go

Detection stack

AIDR
Alert
ETL
Query

Rapporto
Flusso di Attacco
Rilevamenti
Simulazioni

Riassunto

Prinz Eugen è una nuova famiglia di ransomware scritto in Go che utilizza la crittografia ricorsiva e dà priorità ai file modificati di recente per aumentare la pressione sulle vittime. Si basa su ChaCha20-Poly1305 per la crittografia dei file e include funzionalità antiforensi come l’eliminazione delle chiavi di crittografia dalla memoria e l’autocancellazione dopo l’esecuzione. L’operazione segue un modello di estorsione out-of-band e non lascia alcuna nota di riscatto sul sistema locale.

Indagine

L’indagine suggerisce che l’intrusione probabilmente sia iniziata con credenziali RDP compromesse, seguite dalla consegna del servertool.exe payload attraverso Chrome. I ricercatori hanno anche osservato l’uso dello strumento RMM RemotePC per il movimento laterale e il posizionamento basato su PowerShell. L’attribuzione è stata collegata all’actor ROOTBOY sulla base di identità condivise per l’estorsione e attività di violazione precedentemente osservate.

Mitigazione

Le organizzazioni dovrebbero rafforzare l’accesso RDP con l’autenticazione a più fattori e monitorare l’uso non autorizzato degli strumenti di gestione remota. È inoltre essenziale una protezione endpoint robusta in grado di bloccare eseguibili sconosciuti basati su Go e rilevare comportamenti sospetti di PowerShell. Mantenere backup offline regolari e proteggere i dati modificati frequentemente può aiutare a ridurre l’impatto di questo approccio ad alta pressione alla crittografia.

Risposta

Se viene rilevata attività di Prinz Eugen, isolare immediatamente i sistemi colpiti per fermare ulteriori movimenti tramite strumenti RMM o sessioni RDP. Eseguire analisi forensi della memoria prima di riavviare l’host o consentire al malware di rimuoversi, poiché ciò potrebbe offrire la migliore possibilità di recuperare il materiale di crittografia. La risposta agli incidenti dovrebbe anche concentrarsi sul tracciamento della possibile esfiltrazione di dati e di eventuali canali di comunicazione out-of-band utilizzati dall’attaccante.

"graph TB %% Class Definitions Section classDef initial_access fill:#f96,stroke:#333,stroke-width:2px classDef persistence fill:#f66,stroke:#333,stroke-width:2px classDef lateral_movement fill:#6cf,stroke:#333,stroke-width:2px classDef collection fill:#9f9,stroke:#333,stroke-width:2px classDef impact fill:#f33,stroke:#333,stroke-width:2px classDef evasion fill:#ccc,stroke:#333,stroke-width:2px classDef tool fill:#eee,stroke:#333,stroke-width:2px %% Initial Access and Execution access_rdp["Azione – Servizi Remoti Esterni Descrizione: Accesso tramite credenziali RDP compromesse."] class access_rdp initial_access exec_chrome["Esecuzione Utente: File Maligno Azione: Scaricato tramite browser Chrome File: servertool.exe Percorso: Cartella Musica Utente"] class exec_chrome initial_access %% Persistence and Privilege Escalation persist_user["Crea Account: Account Locale Azione: Creato nuovo amministratore locale Comando: net user admin germania /add"] class persist_user persistence priv_esc_rmm["Persistenza: Crea o Modifica Processo di Sistema Strumento: RemotePC RMM Azione: Lancio di stager PowerShell per distribuire payload"] class priv_esc_rmm persistence %% Lateral Movement lat_move_rmm["Servizi Remoti Azione: Attività diretta da tastiera Strumento: RemotePC RMM Descrizione: Facilitando il movimento laterale all’interno dell’ambiente"] class lat_move_rmm lateral_movement %% Collection and Exfiltration coll_data["Dati da Repositori di Informazioni Azione: Raccolta dati su larga scala Dettagli: Circa 1,2 TB raccolti da Standard Bank"] class coll_data collection exfil_leak["Esfiltrazione Tramite Canale C2 Azione: Doppia estorsione tramite portale dedicato di fuga Descrizione: Trasferimento di dati rubati al portale esterno"] class exfil_leak collection %% Impact impact_enc["Dati Criptati per Impatto Malware: servertool.exe Tipo: Cifratura basata su Go Metodo: Cifratura ricorsiva ChaCha20-Poly1305 Estensione: .prinzeugen"] class impact_enc impact %% Defense Evasion evasion_mem["File o Informazioni Offuscati Azione: Eliminazione della memoria antiforense Descrizione: Azzeramento della chiave di criptazione codificata e avvio del garbage collector"] class evasion_mem evasion evasion_del["Rimozione Indicatore: Cancellazione File Azione: Autocancellazione tramite cmd.exe Tecnica: Utilizza un trucco di ritardo ping per garantire la rimozione del file dal disco"] class evasion_del evasion %% Connections access_rdp –>|leads_to| exec_chrome exec_chrome –>|triggers| persist_user persist_user –>|enables| priv_esc_rmm priv_esc_rmm –>|facilitates| lat_move_rmm lat_move_rmm –>|leads_to| coll_data coll_data –>|leads_to| exfil_leak coll_data –>|leads_to| impact_enc impact_enc –>|triggers| evasion_mem impact_enc –>|triggers| evasion_del "

Flusso di attacco

Narrazione & Comandi di Attacco: L’avversario ha distribuito il ransomware Prinz Eugen. Per massimizzare l’impatto e minimizzare l’impronta forense, il malware è configurato per eliminare i file originali una volta crittografati usando l’opzione --delete per evitare che il file sia “in uso” durante la sua cancellazione, il malware invoca una shell di comando per creare un breve ritardo tramite ping prima di eseguire il del comando sul proprio binario. Questa sequenza specifica di servertool --delete combinata con cmd.exe /C ping -n 2 > nul & del /F /Q è l’indicatore principale che stiamo simulando.

Script per Test di Regressione:

# Simulazione del Comportamento della Riga di Comando del Ransomware Prinz Eugen
# Questo script simula la stringa di comando esatta prevista dalla regola di rilevamento.

# 1. Creare un 'servertool.exe' fasullo per rappresentare il malware
$dummyExe = "$env:TEMPservertool.exe"
New-Item -Path $dummyExe -ItemType File -Force

# 2. Simulare l'esecuzione del ransomware con gli argomenti della riga di comando specifici
# Nota: In un ambiente reale, questa sarebbe l'esecuzione effettiva del processo.
# Utilizziamo Start-Process per simulare la creazione di un nuovo processo con la riga di comando target.

$ransomwareCommand = "servertool --delete"
$selfDeleteCommand = "cmd.exe /C ping -n 2 > nul & del /F /Q `"$dummyExe`""

Write-Host "Simulazione Creazione Processo Ransomware..."

# Attivazione del rilevamento simulando l'evento di creazione del processo
# Invociamo cmd per imitare il modello di stringa esatto richiesto
Start-Process "cmd.exe" -ArgumentList "/C `"$ransomwareCommand & $selfDeleteCommand`""

Comandi di Pulizia:

# Pulizia degli artefatti di simulazione
Remove-Item -Path "$env:TEMPservertool.exe" -ErrorAction SilentlyContinue

Unisciti alla piattaforma Detection as Code di SOC Prime per migliorare la visibilità sulle minacce più rilevanti per il tuo business. Per aiutarti a iniziare e aumentare immediatamente il valore, prenota ora un incontro con gli esperti di SOC Prime.

Iscriviti gratis