STOCKSTAY ще один день: новітнє доповнення до апарату розвідки Turla

Резюме

Група загроз Google Threat Intelligence Group виявила STOCKSTAY, багатокомпонентний .NET бэкдор, що використовується актором загроз Turla, пов’язаним з Росією. Шкідливе програмне забезпечення побудоване з модульною архітектурою, яка включає тунелер, оркестратор і компонент бэкдору, всі взаємодіють через захищені WebSockets. Воно призначене для підтримки довготривалих операцій кібершпигунства проти урядових і військових цілей.

Розслідування

GTIG провела глибокий аналіз екосистеми STOCKSTAY та відстежила її розвиток до грудня 2022 року. Дослідники картографували її модульні компоненти, вивчили використання екологічного кодування для дешифрування даних конфігурації та задокументували її перехід від маскування під утиліту для ринку акцій до обману, видаючи себе за інші нешкідливі додатки. Розслідування також виявило використання K1MORPHER для обфускації рядків і зв’язку з відомим інструментом KAZUAR Turla.

Пом’якшення

Організації повинні впроваджувати сильний моніторинг підозрілої поведінки .NET програм і незвичного трафіку WebSocket на незнайомі домени. Захист від початкового доступу через шкідливі RDP файли та зміцнення захисту електронної пошти від фішингу також критично важливі. Крім того, усунення вразливостей, таких як CVE-2025-8088 у WinRAR, може допомогти блокувати розгортання на основі експлуатації.

Реакція

Якщо активність STOCKSTAY виявлено, необхідно негайно ізолювати уражені хости, щоб зупинити подальшу команду і контроль (C2) і латеральний рух. Проведіть детальне судово-експертне розслідування, щоб визначити повний обсяг компрометації, з особливою увагою на несанкціоновані зміни в реєстрі та нові створені планові завдання. Також слід переглянути журнали мережі для довгострокових сесій WebSocket, а системи повинні бути перевірені на наявність компонентних файлів STOCKSTAY.

Виконання симуляції

Передумова: Перевірка телеметрії та базових даних має бути пройдена.

Обґрунтування: цей розділ деталізує точне виконання техніки зловмисника (TTP), розробленої для того, щоб запустити правило виявлення. Команди та опис МАЮТЬ безпосередньо відображати виявлені TTP та прагнути генерувати точну телеметрію, очікувану детекційною логікою. Узагальнені чи нерелевантні приклади призведуть до неправильного діагностування.

• Сценарій атаки та команди: Зловмисник має намір встановити стійкість, використовуючи інструмент, що маскується під легітимний компонент оновлення Microsoft. Щоб уникнути виявлення, зловмисник перейменував свій бэкдор STOCKSTAY в MicrosoftUpdateOneDrive.exe і помістив його в тимчасову директорію. Метою є виконати цей процес для ініціювання зворотної оболонки або командних і контрольних комунікацій (C2), покладаючись на “легітимну” назву, щоб обійти основний моніторинг процесів.

• Сценарій регресійного тесту:

  # Сценарій симуляції: Виконання маскування STOCKSTAY
  $MaliciousName = "MicrosoftUpdateOneDrive.exe"
  $TargetDir = "$env:TEMPStockstaySim"
  
  # 1. Створення симульованої "шкідливої" директорії та файлу
  if (!(Test-Path $TargetDir)) { New-Item -Path $TargetDir -ItemType Directory -Force }
  $FakeBinary = Join-Path $TargetDir $MaliciousName
  
  # 2. Створення підробного виконуваного файлу (використовуючи перейменований cmd.exe для цілей симуляції)
  Copy-Item "C:WindowsSystem32cmd.exe" -Destination $FakeBinary -Force
  
  Write-Host "[+] Симуляція: Створено $FakeBinary" -ForegroundColor Cyan
  
  # 3. Виконання "шкідливого" процесу
  Write-Host "[+] Симуляція: Виконання $MaliciousName..." -ForegroundColor Yellow
  Start-Process -FilePath $FakeBinary -ArgumentList "/c echo STOCKSTAY_SIMULATION_ACTIVE" -WindowStyle Hidden
  
  Write-Host "[+] Симуляція: Триггеровано виконання процесу." -ForegroundColor Green

• Команди очищення:

  # Сценарій очищення
  $TargetDir = "$env:TEMPStockstaySim"
  if (Test-Path $TargetDir) {
      Remove-Item -Path $TargetDir -Recurse -Force
      Write-Host "[+] Очищення: Видалено симуляційну директорію $TargetDir" -ForegroundColor Green
  } else {
      Write-Host "[-] Очищення: Симуляційну директорію не знайдено." -ForegroundColor Red
  }