Photo ZIP-Kampagne zielt auf die Gastronomie ab und liefert Node.js-Implantat für persistenten Zugriff

Zusammenfassung

Eine aktive mehrstufige Eindringungskampagne zielt auf den Gastgewerbesektor ab, indem sie foto-themenbezogene ZIP-Archive verwendet, die bösartige LNK-Dateien enthalten. Die Infektionskette nutzt verschleierte PowerShell-Dekoder, On-the-fly-Kompilierung von .NET-DLLs und ein Node.js-basiertes Implantat für Persistenz und Kommando- und Kontrollkommunikation. Der Bedrohungsakteur tarnt zudem die Authentifizierung über legitime Dienste wie Calendly und Google, um die Chance einer emailbasierten Erkennung zu verringern.

Untersuchung

Microsoft identifizierte zwei separate Wellen der Kampagne und beobachtete eine Weiterentwicklung von einfachen PowerShell-Loadern zu komplexeren .NET-Kompilierungsstufen. Die Untersuchung ergab auch eine doppelte Persistenzstrategie, die sich auf sowohl HKCURun and HKCURunOnce Registrierungsschlüssel stützte. Forscher bemerkten zudem die Nutzung von Cloudflare-verschleierten Domains und nicht standardmäßigen Kommando- und Kontrollports, um die unterstützende Infrastruktur zu verschleiern.

Minderung

Organisationen sollten geschichtete Erkennungen für Shortcut-Ausführung, unerwartete .NET-Kompilierung und Node.js-Prozesse, die aus benutzerbeschreibbaren Verzeichnissen gestartet werden, priorisieren. Die Aktivierung von Angriffsfächenreduktionsregeln und die Überwachung auf unbefugte Microsoft Defender-Ausschlussänderungen wird dringend empfohlen. Das Blockieren verdächtiger .cfd Domain-Muster und die Beobachtung des ausgehenden Datenverkehrs über ungewöhnliche Ports kann ebenfalls helfen, die Gefährdung zu reduzieren.

Reaktion

Wenn diese Aktivitäten erkannt werden, sollte die Schadensbehebung die Entfernung sowohl des ProgramData RunOnce Eintrags als auch des Node.js Run Schlüssels umfassen, um zu verhindern, dass sich das Implantat selbst wiederherstellt. Sicherheitsteams sollten auch die Node.js-Laufzeitumgebung und zugehörige .js Payloads aus dem AppDataLocalNodejs Verzeichnis löschen. Eine vollständige Bereinigung erfordert, dass sowohl das aktive Payload als auch jegliche Persistenzmechanismen beseitigt werden.

Simulationsausführung

Voraussetzung: Der Telemetrie- und Baseline-Vorflugstest muss bestanden sein.

Begründung: Dieser Abschnitt beschreibt die genaue Ausführung der Angriffstechnik (TTP), die dazu entworfen wurde, die Erkennungsregel auszulösen. Die Befehle und Erzählung müssen direkt den identifizierten TTPs entsprechen und darauf abzielen, die genaue Telemetrie zu erzeugen, die von der Erkennungslogik erwartet wird. Abstrakte oder nicht zusammenhängende Beispiele führen zu Fehldiagnosen.

• Angriffsbericht & Befehle: Ein Angreifer hat initialen Zugriff über einen Spearphishing-Link (T1566.002) erlangt. Um Persistenz und Kommando und Kontrolle (C2) zu etablieren, setzt der Angreifer ein leichtgewichtiges, PowerShell-basiertes Implantat ein. Um der Erkennung durch grundlegende Firewall-Regeln, die nur Standard-Ports überwachen, zu entgehen, beschließt der Angreifer, einen nicht standardmäßigen Port (8443) für das primäre Heartbeat zu verwenden. Zusätzlich wird das Implantat so konfiguriert, dass es einen sekundären „Call Home“ an eine Backup-Domain auf einem .cfd TLD ausführt, um die Widerstandsfähigkeit sicherzustellen, falls die primäre IP blockiert wird. Dies imitiert das Verhalten der Foto-Zip-Kampagne, die in den Referenzen der Regel erwähnt wird.

• Regressionstest-Skript:

  # Simulationsskript: C2-Emulation zur Regelvalidierung
  # Dieses Skript simuliert Netzwerkverbindungen zu nicht standardmäßigen Ports und .cfd Domains.
  
  Write-Host "[+] Starting C2 Simulation..." -ForegroundColor Cyan
  
  # 1. Verbindung zu einem nicht standardmäßigen C2-Port (8443) simulieren
  # Wir verwenden eine öffentliche IP, die auf 8443 hört (oder einen lokalen Listener, wenn verfügbar)
  Write-Host "[+] Attempting connection to non-standard port 8443..." -ForegroundColor Yellow
  try {
      $tcpClient = New-Object System.Net.Sockets.TcpClient
      $tcpClient.Connect("8.8.8.8", 8443) # Google DNS als Dummy-Ziel für Port-Tests verwenden
  } catch {
      Write-Host "[!] Port 8443 connection failed (Expected if port is closed), but telemetry should still be generated." -ForegroundColor Gray
  } finally {
      $tcpClient.Close()
  }
  
  # 2. Verbindung zu einer .cfd Domain simulieren
  # Wir versuchen, eine Dummy .cfd Domain aufzulösen und sich damit zu verbinden
  Write-Host "[+] Attempting connection to .cfd domain..." -ForegroundColor Yellow
  $cfdDomain = "malicious-c2-test.cfd"
  try {
      # Verwendung von Resolve-DnsName zur Auslösung von DNS-Telemetrie, gefolgt von einer Webanforderung
      Resolve-DnsName -Name $cfdDomain -ErrorAction SilentlyContinue
      Invoke-WebRequest -Uri "http://$cfdDomain" -TimeoutSec 2 -ErrorAction SilentlyContinue
  } catch {
      Write-Host "[!] .cfd domain connection failed (Expected for dummy domain), but telemetry should be generated." -ForegroundColor Gray
  }
  
  Write-Host "[+] Simulation Complete." -ForegroundColor Cyan

• Aufräumbefehle:

  # Aufräumen: Keine dauerhaften Artefakte wurden von diesem spezifischen Skript erstellt.
  # Wenn ein Listener gestartet wurde, sollte er gestoppt werden.
  Write-Host "[+] No cleanup required for this stateless simulation." -ForegroundColor Green