Ланцюг завантажувача в стилі SilverFox використовує оболонки Panasonic, Alibaba OSS і Sauron

SOC Prime Team

Стежити

Ланцюг завантажувача в стилі SilverFox використовує оболонки Panasonic, Alibaba OSS і Sauron

Detection stack

AIDR
Alert
ETL
Query

Звіт про загрози
Потік атаки
Виявлення
Симуляції

Резюме

Ця загроза зосереджена на високорозвиненому багатоступеневому завантажувачу, який маскується під легітимне програмне забезпечення Panasonic. Шкідливе ПЗ використовує Alibaba OSS для доставки навантажень та залежить від зашифрованих носіїв зображень, які використовують характерний формат п’ятибайтового трейлера EOF. Його фінальна стадія розгортає бекдор Sauron, який підтримує стійкість через створення сервісів та цільові зміни в реєстрі.

Розслідування

Аналітики провели як статичний, так і динамічний аналіз, виявивши послідовність операцій бокового завантаження, що включають двійкові файли під брендами програмного забезпечення Tencent і Philips. Розслідування виявило багатошарову рутину дешифрування із використанням інкрементного XOR і RC4, а також створення запланованого завдання через механізми RPC. Судова експертиза пам’яті та телеметрія з пісочниці допомогли реконструювати повний шлях виконання, від початкового обгортки в тематиці Panasonic до фінального бекдора Sauron.

Мітигація

Організації повинні стежити за несанкціонованим плануванням завдань через RPC і підозрілим створенням запланованих завдань через NdrClientCall3. Сильний дозволений список додатків може допомогти блокувати виконання неприпустимих бокових завантажуваних DLL. Захисники також повинні спостерігати за несподіваним видаленням тіньових копій обсягів та підозрілими змінами в реєстрі під HKCUSOFTWARE.

Відповідь

Якщо ця активність виявлена, ізолюйте уражені системи негайно, щоб зупинити подальше латеральне переміщення або комунікацію командного та керівного каналу. Проведіть аналіз пам’яті, щоб ідентифікувати впроваджені модулі та визначити поточний етап завантажувального ланцюга. Логи мережі також повинні бути перевірені на наявність трафіку до інфраструктури Alibaba OSS та відомих IP-адрес командного та контрольного каналів, які були визначені під час тріажу.

graph TB %% Class Definitions classDef action fill:#99ccff classDef malware fill:#ff9999 classDef tool fill:#cccccc classDef evasion fill:#ccffcc classDef persistence fill:#ffff99 %% Node Definitions %% Initial Access and Execution exec_user_malicious[“Дія – Виконання користувачем: Шкідливий файл Файл: ainstaller-86533005.exe Опис: Користувач виконує троянізований виконуваний файл замаскований під програмне забезпечення Panasonic для сповіщення ПК.”] class exec_user_malicious action %% Obfuscation and Masquerading obf_files[“Затемнені файли або інформація Техніка: Багатошарові буфери стадій Механізм: Спеціальне кодування XOR/RC4 Екстракція: П’ятирозрядний трейлер EOF з носіїв зображень.”] class obf_files malware mask_file_type[“Маскування: Маскування типу файлу Опис: Використання розширень зображень (gif, jpg, png, db) для приховування зашифрованих навантажень.”] class mask_file_type evasion %% Proxy Execution proxy_sys_bin[“Виконання проксі через системні двійкові файли Ціль 1: Tencent UxEnhanceHost завантажує UxEnhance64.dll Ціль 2: Philips/Speech Processing Solutions хост завантажує XPSPLOG.dll”] class proxy_sys_bin action %% Persistence persist_sched_task[“Заплановане завдання/робота: Заплановане завдання Модуль: VirtuOne Механізм: Виклики RPC до Планувальника завдань через \pipeatsvc Ціль: Створити приховані повторювані завдання.”] class persist_sched_task persistence %% Defense Evasion evade_def_impair[“Порушення оборони Дія: Патчинг ntdll.dll!NtTraceEvent”] class evade_def_impair evasion evade_selective_excl[“Вибіркове виключення Інструмент: PowerShell Команда: Add-MpPreference -ExclusionPath Ціль: Додати виключення Windows Defender.”] class evade_selective_excl evasion %% Final Stage proxy_rundll32[“Виконання проксі через системні двійкові файли: Rundll32 Файл: rundll32.dat Експорт: Edge Дія: Встановлює і запускає шкідливий сервіс.”] class proxy_rundll32 action malware_sauron[“Шкідливе ПЗ: Sauron Тип: Шкідливий сервіс Можливості: Стійкий бекдор та запуск команд.”] class malware_sauron malware %% Connections %% Flow of execution exec_user_malicious –>|ініціює| obf_files obf_files –>|використовує| mask_file_type mask_file_type –>|веде до| proxy_sys_bin proxy_sys_bin –>|дозволяє| persist_sched_task persist_sched_task –>|сприяє| evade_def_impair persist_sched_task –>|сприяє| evade_selective_excl evade_def_impair –>|готує середовище для| proxy_rundll32 evade_selective_excl –>|готує середовище для| proxy_rundll32 proxy_rundll32 –>|встановлює| malware_sauron

Атака Флоу

Оповідання атаки та команди: Противник намагається завантажити вторинний етап завантажувача, використовуючи легітимну хмарну службу для маскування під нормальний трафік. Зловмисник користується однолінійним PowerShell для симуляції завантажувача, виконуючи запит до відомої URL-адреси SilverFox Alibaba OSS: https://jun616.oss-cn-beijing.aliyuncs.com/tad/payload.exe. Ця дія спрямована на обхід простих фільтрів доменів, покладаючись на репутацію aliyuncs.com при цьому використовуючи конкретний шкідливий шлях, визначений у правилі детекції.

Сценарій регресійного тестування:

# Симуляція мережевого індикатора завантажувача SilverFox
# Цей сценарій намагається підключитися до конкретної URL-адреси, яка моніториться правилом Sigma.

$targetUrl = "https://jun616.oss-cn-beijing.aliyuncs.com/tad/test_file.txt"
Write-Host "[!] Симуляція підключення до мережі SilverFox на: $targetUrl"

try {
    # Використання Invoke-WebRequest для генерації стандартної проксі-телеметрії HTTP
    $response = Invoke-WebRequest -Uri $targetUrl -Method Get -UseBasicParsing
    Write-Host "[+] Запит виконано. Код статусу: $($response.StatusCode)"
}
catch {
    # Ми очікуємо 404 або помилку підключення, якщо URL фактично не веде до файлу, 
    # але журнал проксі все одно зафіксує спробу підключення.
    Write-Host "[-] Спроба запиту. Перевірте логи проксі на спробу підключення."
}

Команди очищення:

# Ніяких постійних змін, зроблених цим сценарієм; очищення не вимагається.
Write-Host "[*] Очищення після симуляції завершено."

Приєднуйтесь до платформи Detection as Code від SOC Prime щоб покращити видимість загроз, найбільш актуальних для вашого бізнесу. Щоб допомогти вам розпочати та отримати негайну цінність, забронюйте зустріч зараз з експертами SOC Prime.

Приєднатися безкоштовно