Aquatic Panda (Earth Lusca): Kampagnen, Malware und TTPs

Zusammenfassung

Aquatic Panda ist eine China-ausgerichtete APT-Gruppe, die sich auf Informationsbeschaffung und Industriespionage konzentriert. Die Gruppe verwendet ein vielfältiges Arsenal an Malware, einschließlich SprySOCKS, ShadowPad und BIOPASS RAT, um kritische Industrien anzugreifen. Ihre Operationen beinhalten auch die Ausnutzung von Schwachstellen wie Log4Shell und den Einsatz fortschrittlicher Rootkits zur Aufrechterhaltung von Tarnung.

Untersuchung

Der Bericht beschreibt mehrere Kampagnen, einschließlich Operation FishMedley und Angriffe auf VMware Horizon-Server. Er untersucht das technische Design des SprySOCKS-Backdoors, einschließlich seiner Kernel-Mode-Rootkit-Funktionalität und Persistenzfunktionen. Die Analyse zerlegt auch die spezifischen TTPs der Gruppe für den initialen Zugriff, Ausführung und Defensive-Evasion.

Minderung

Organisationen sollten ihre Abwehrmaßnahmen gegen die bekannte Handelsweise von Aquatic Panda mithilfe von Simulations- und Testplattformen validieren. Wichtige Gegenmaßnahmen umfassen das Patchen von Log4j-Schwachstellen wie CVE-2021-44228 und das Überwachen auf unbefugte geplante Aufgaben oder verdächtige Änderungen an Windows-Diensten. Eine starke Endpoint-Erkennung ist ebenfalls entscheidend, um DLL-Sideloading und Prozessinjektionsaktivitäten zu identifizieren.

Antwort

Wenn Aktivitäten von Aquatic Panda festgestellt werden, sollten die Reaktionskräfte die betroffenen Systeme sofort isolieren, um die seitliche Bewegung zu stoppen. Die Untersuchungen sollten sich auf unbefugte Registrierungsänderungen konzentrieren, insbesondere innerhalb von Print Processors oder IFEO-Einstellungen. Die forensische Analyse sollte die Speichersammlung aus verdächtigen Prozessen und die Überprüfung geplanter Aufgaben und Windows-Dienste priorisieren.

## Simulation Ausführung

Voraussetzung: Der Telemetrie- und Baseline-Vorflug-Check muss bestanden haben.

Begründung: Dieser Abschnitt beschreibt die genaue Ausführung der vom Angreifer angewandten Technik (TTP), die darauf ausgelegt ist, die Erkennungsregel auszulösen. Die Befehle und Erzählung MÜSSEN direkt die identifizierten TTPs widerspiegeln und darauf abzielen, die exakte Telemetrie zu generieren, die durch die Erkennungslogik erwartet wird. Abstrakte oder nicht verwandte Beispiele führen zu Fehldiagnosen.

• Angriffsgeschichte & Befehle: Ein Angreifer beabsichtigt, Prozess-Hollowing durchzuführen, um bösartigen Code innerhalb eines legitimen Prozesscontainers zu verbergen. Um zu testen, ob die aktuelle (wenn auch fehlerhafte) Erkennung ausgelöst wird, wird der Angreifer powershell.exe aus einem bestimmten Verzeichnis starten. Dies simuliert die Anfangsphase eines Living-off-the-Land (LotL)-Angriffs, bei dem der Angreifer ein standardmäßiges Systemwerkzeug verwendet, um seine bösartigen Aktivitäten zu beginnen, wie z. B. Speicherinjektion oder Anmeldeinformationen Ernte. Das Ziel ist es, ein Prozesserstellungs Ereignis zu generieren, bei dem das Bild Feld einen Backslash enthält, wie in der Erkennungslogik definiert.

• Regressionstest-Skript:

   # Simulieren eines Prozessstarts, der der (schwachen) Erkennungslogik entspricht
    # Dies imitiert den Beginn einer Angreifersitzung unter Verwendung eines Standardtools
    $targetProcess = "C:WindowsSystem32WindowsPowerShellv1.0powershell.exe"
    Write-Host "Ausführung: $targetProcess"
    Start-Process -FilePath $targetProcess -ArgumentList "-NoProfile -ExecutionPolicy Bypass -Command Write-Host 'Simulation Aktiv'"

• Bereinigungskommandos:

   # Es wurden keine dauerhaften Änderungen vorgenommen; keine Bereinigung erforderlich für diese Simulation.
    Write-Host "Bereinigung der Simulation abgeschlossen."