Panda Acquatica (Earth Lusca): Campagne, Malware e TTP

Sommario

Aquatic Panda è un gruppo APT allineato alla Cina focalizzato sulla raccolta di intelligence e sullo spionaggio industriale. Il gruppo utilizza un arsenale di malware diversificato, tra cui SprySOCKS, ShadowPad e BIOPASS RAT, per colpire industrie critiche. Le sue operazioni implicano anche lo sfruttamento di vulnerabilità come Log4Shell e l’uso di rootkit avanzati per mantenere la furtività.

Indagine

Il rapporto delinea molteplici campagne, inclusa l’Operazione FishMedley e attacchi che coinvolgono server VMware Horizon. Esamina il design tecnico del backdoor SprySOCKS, compresa la sua funzionalità di rootkit in modalità kernel e le caratteristiche di persistenza. L’analisi suddivide anche i TTP specifici del gruppo per l’accesso iniziale, l’esecuzione e l’evasione delle difese.

Mitigazione

Le organizzazioni dovrebbero convalidare le loro difese contro i metodi noti di Aquatic Panda utilizzando piattaforme di simulazione e test. Le mitigazioni chiave includono la correzione delle vulnerabilità di Log4j come CVE-2021-44228 e il monitoraggio di attività programmate non autorizzate o cambiamenti sospetti nei servizi di Windows. Un forte rilevamento degli endpoint è anche essenziale per identificare il caricamento laterale di DLL e l’attività di iniezione dei processi.

Risposta

Se viene rilevata un’attività di Aquatic Panda, i rispondenti dovrebbero isolare immediatamente i sistemi interessati per interrompere il movimento laterale. Le indagini dovrebbero concentrarsi sui cambiamenti di registro non autorizzati, specialmente all’interno delle impostazioni dei processori di stampa o IFEO. L’analisi forense dovrebbe dare priorità alla raccolta della memoria da processi sospetti e all’audit delle attività programmate e dei servizi di Windows.

## Esecuzione della Simulazione

Prerequisito: Il Controllo Prevolo di Telemetria & Baseline deve essere passato.

Motivo: Questa sezione dettaglia l’esecuzione precisa della tecnica dell’avversario (TTP) progettata per attivare la regola di rilevamento. I comandi e la narrativa DEVONO riflettere direttamente i TTP identificati e mirare a generare esattamente la telemetria aspettata dalla logica di rilevamento. Esempi astratti o non correlati porteranno a una diagnosi errata.

• Narrativa dell’Attacco & Comandi: Un avversario intende eseguire il process hollowing per nascondere il codice maligno all’interno di un contenitore di processo legittimo. Per testare se l’attuale (anche se difettoso) rilevamento si attiva, l’avversario lancerà powershell.exe da una directory specifica. Questo simula la fase iniziale di un attacco Living-off-the-Land (LotL) dove l’avversario utilizza uno strumento di sistema standard per iniziare le sue attività malevole, come l’iniezione di memoria o la raccolta di credenziali. L’obiettivo è generare un evento di Creazione Processo dove il campo Immagine contiene una barra rovesciata, come definito nella logica di rilevamento.

• Script di Test di Regressione:

   # Simulazione dell'avvio di un processo che soddisfa la logica di rilevamento (debole)
  # Questo imita l'inizio di una sessione dell'avversario utilizzando uno strumento standard
  $targetProcess = "C:WindowsSystem32WindowsPowerShellv1.0powershell.exe"
  Write-Host "Esecuzione: $targetProcess"
  Start-Process -FilePath $targetProcess -ArgumentList "-NoProfile -ExecutionPolicy Bypass -Command Write-Host 'Simulazione Attiva'"

• Comandi di Pulizia:

   # Nessun cambiamento persistente effettuato; nessuna pulizia richiesta per questa simulazione.
  Write-Host "Pulizia della simulazione completata."