APT-C-60 Angriff-Update für 2026

Zusammenfassung

Die Bedrohungsgruppe APT-C-60 führt gezielte Operationen gegen Organisationen in Japan durch und verwendet überarbeitete Eintrittstaktiken und aktualisierte Infrastruktur. Die Infektionskette beginnt mit Spear-Phishing-E-Mails, die Proton-Drive-Links oder modifizierte RAR-Archive enthalten, die zur Ausführung einer LNK-Datei führen. Diese Verknüpfung missbraucht mshta.exe , um eingebetteten JavaScript-Code zu starten, der letztendlich über verschiedene legitime Entwicklerdienste die SpyGlace-Malware abruft und ausführt.

Untersuchung

JPCERT/CC beobachtete bemerkenswerte Änderungen in den Eintrittsmethoden und der Infrastruktur von APT-C-60 im Vergleich zu früheren Kampagnen. Die Untersuchung zeigte die Verwendung von Proton Drive zur Verteilung der Nutzlast und den Missbrauch vertrauenswürdiger Dienste wie GitLab, jsDelivr, Codeberg und GitHub zur Bereitstellung bösartiger Komponenten. Analysten rekonstruierten die Infektionskette von einer LNK-Datei, die JavaScript über mshta.exe , hin zu einem nachfolgenden Skript, das git.exe verwendete, um zusätzlichen Downloader-Inhalt abzurufen.

Minderung

Benutzer sollten das Öffnen verdächtiger Cloud-Speicher-Links oder LNK-Dateien in komprimierten Archiven wie RAR-Dateien vermeiden. Organisationen sollten den Missbrauch legitimer Entwickler-Tools und Plattformen, einschließlich git.exe und öffentlicher Code-Hosting-Dienste, auf ungewöhnliche ausgehende Aktivitäten überwachen. Die Durchsetzung strengerer Kontrollen bei mshta.exe und die Überwachung verdächtiger JavaScript-Ausführungen können ebenfalls helfen, die Gefährdung zu reduzieren.

Reaktion

Wenn diese Aktivität erkannt wird, sollten Responder betroffene Hosts isolieren und Gedächtnisforensik durchführen, um aktive SpyGlace-Varianten und Kontroll- und Steuersitzungen zu identifizieren. Netzwerkprotokolle sollten auf Kommunikation mit den identifizierten C2-IP-Adressen und den für die Nutzlastlieferung missbrauchten legitimen Diensten überprüft werden. Ermittler sollten auch den ursprünglichen Eintrittspunkt nachvollziehen, wobei der Schwerpunkt auf Spear-Phishing-E-Mails und nachfolgenden Downloads von Cloud-Speicherdiensten liegt.

Simulationsausführung

Voraussetzung: Der Telemetrie- & Grundlast-Preflight-Check muss erfolgreich sein.

Begründung: Dieser Abschnitt beschreibt die genaue Ausführung der gegnerischen Technik (TTP), die darauf abzielt, die Erkennungsregel auszulösen. Die Befehle und Erzählungen MÜSSEN genau die identifizierten TTPs widerspiegeln und darauf abzielen, die genaue Telemetrie zu generieren, die von der Erkennungslogik erwartet wird. Abstrakte oder nicht verknüpfte Beispiele führen zu Fehldiagnosen.

• Angriffserzählung & Befehle: Der Angreifer beabsichtigt, eine Nutzlast der zweiten Stufe mithilfe einer Kombination von LOLBins bereitzustellen, um traditionelle signaturbasierte Erkennung zu umgehen. Der Angreifer verwendet eine LNK-Datei, um mshta.exeauszulösen, die eine verschleierte JavaScript-Routine ausführt. Um sich in eine Entwicklerumgebung einzufügen und möglicherweise Datenexfiltration oder Tool-Abruf zu verbergen, ruft der Angreifer git.exe auf, während er eine Befehlszeile mit dem Stichwort ‚downloader‘ übergibt. Um die spezifische (und fragile) Logik dieser Regel zu erfüllen, führt die Simulation eine einzelne Befehlszeile aus, die alle drei Elemente umfasst.

• Regressionstest-Skript:

  # Simulationsskript zur Auslösung der Erkennungsregel von APT-C-60.
  # Dieses Skript führt mshta mit JavaScript und git.exe in einer Weise aus, die
  # versucht, die AND-Bedingungsanforderungen der Regel zu erfüllen.
  
  $cmd = "mshta.exe javascript:alert('triggering_rule'); git.exe --help downloader"
  
  # Hinweis: In einer realen Sigma/SIEM-Umgebung erwartet die 'und'-Bedingung oft, dass diese innerhalb desselben Ereignisses
  # oder sehr eng korreliert auftreten. Wir werden einen Prozess starten, der
  # diese komplexe Befehlszeile nachahmt.
  
  Start-Process "mshta.exe" -ArgumentList "javascript:alert('test'); git.exe downloader"

• Bereinigungsbefehle:

  # Durch das Simulationsskript werden keine persistierenden Artefakte erstellt.
  # Stellen Sie einfach sicher, dass keine verbleibenden mshta-Prozesse bestehen.
  Stop-Process -Name "mshta" -ErrorAction SilentlyContinue