MS SQL Server-Einbruch nutzt GoToHTTP und SoftEther VPN für Fernzugriff

Zusammenfassung

Ein Bedrohungsakteur, der als Larva-26009 verfolgt wird, zielte auf MS-SQL-Server ab, um mehrere Malware-Nutzlasten bereitzustellen, darunter XMRig CoinMiner und SoftEther VPN. Der Eindringling installierte Web-Shells für Persistenz, stahl Anmeldedaten durch das Auslesen der Registrierung und verwendete mehrere Dienstprogramme zur Privilegienausweitung. Der Angreifer griff auch auf spezialisierte Loader und verschlüsselte Dateien zurück, um herkömmliche Sicherheitsmechanismen zu umgehen.

Untersuchung

Das AhnLab Security Intelligence Center (ASEC) entdeckte den Angriff während der Überwachung von Angriffsaktivitäten, die auf MS-SQL-Server abzielen. Die Untersuchung deckte die Verwendung von certutil.exe auf, um Web-Shell-Dateien zu entschlüsseln, sowie Kommandozeilenaktivitäten, die im Zusammenhang mit dem Auslesen von Anmeldedaten und seitlicher Bewegung standen. Forscher dokumentierten auch mehrere sogenannte Potato-artige Werkzeuge zur Privilegienausweitung und spezialisierte Shellcode-Loader, einschließlich RingQ.

Abschwächung

Administratoren sollten starke, komplexe und regelmäßig rotierende Passwörter für alle Datenbankdienstkonten durchsetzen, um das Risiko von Brute-Force-Angriffen zu verringern. Datenbankserver sollten durch Firewalls geschützt werden, die den öffentlichen Zugriff einschränken und die Angriffsfläche minimieren. Sicherheitssoftware und Lösungen zum Schutz von Endpunkten sollten ebenfalls vollständig aktualisiert bleiben, um bekannte Malware-Signaturen und damit verbundene bösartige Aktivitäten zu erkennen.

Antwort

Wenn bösartige Aktivitäten festgestellt werden, sollten Sicherheitsteams sofort kompromittierte MS-SQL- und IIS-Webserver isolieren, um weitere seitliche Bewegungen zu verhindern. Reagierende sollten neu erstellte Benutzerkonten überprüfen, insbesondere solche mit verdächtigen Namensmustern wie Namen, die auf $ enden. Speicherforensik sollte ebenfalls durchgeführt werden, um injizierten Shellcode zu identifizieren und unautorisierte VPN- oder Remotedesktopdienste auf betroffenen Systemen aufzudecken.

Simulation Ausführung

Voraussetzung: Der Telemetrie- & Baseline-Vorabcheck muss bestanden werden.

Begründung: Dieser Abschnitt beschreibt die genaue Ausführung der gegnerischen Technik (TTP), die die Erkennungsregel auslösen soll. Die Befehle und Erzählungen MÜSSEN die identifizierten TTPs direkt widerspiegeln und sich darauf konzentrieren, die genaue Telemetrie zu erzeugen, die von der Erkennungslogik erwartet wird. Abstrakte oder nicht verwandte Beispiele führen zu Fehldiagnosen.

• Angriffs-Narrativ & Befehle: Der Gegner hat sich ersten Zugang verschafft und beabsichtigt, eine sekundäre Nutzlast herunterzuladen, um die Persistenz zu sichern. Um Verdacht zu vermeiden, entscheiden sie sich für Techniken des „Living-off-the-Land“ (LotL). Sie werden zwei Methoden ausprobieren: Erstens die Verwendung von certutil.exe zum Herunterladen einer Datei über den -urlcache Parameter, und zweitens die Verwendung eines älteren System.Net.WebClient Aufrufs in PowerShell. Dies imitiert einen Angreifer, der versucht, in legitimen Verwaltungsverkehr zu integrieren, während er Werkzeuge herunterlädt.

• Regressionstest-Skript:

  # Simulationsskript für Certutil- und PowerShell-Download-Erkennung
  # Hinweis: Dieses Skript versucht, eine harmlose Textdatei von einer öffentlichen URL herunterzuladen.
  
  $TargetUrl = "https://raw.githubusercontent.com/socprime/test-payloads/main/test.txt"
  $LocalPathCertutil = "$env:TEMPcertutil_download.txt"
  $LocalPathPS = "$env:TEMPps_download.txt"
  
  Write-Host "[+] Simulation wird gestartet..." -ForegroundColor Cyan
  
  # Methode 1: Certutil URL-Cache-Download
  Write-Host "[*] Ausführen der Certutil-Download-Technik..." -ForegroundColor Yellow
  Start-Process "certutil.exe" -ArgumentList "-urlcache -split -f $TargetUrl $LocalPathCertutil" -NoNewWindow -Wait
  
  # Methode 2: PowerShell WebClient-Download
  Write-Host "[*] Ausführen der PowerShell WebClient-Technik..." -ForegroundColor Yellow
  powershell.exe -ExecutionPolicy Bypass -Command "(new-object System.Net.WebClient).DownloadFile('$TargetUrl', '$LocalPathPS')"
  
  Write-Host "[+] Simulationsbefehle ausgeführt." -ForegroundColor Green

• Aufräumbefehle:

  # Aufräumskript
  Remove-Item -Path "$env:TEMPcertutil_download.txt" -ErrorAction SilentlyContinue
  Remove-Item -Path "$env:TEMPps_download.txt" -ErrorAction SilentlyContinue
  Write-Host "[+] Aufräumen abgeschlossen." -ForegroundColor Green