Guildma (Astaroth) Malware-Infektion durch brasilianisch-portugiesische E-Mail

Zusammenfassung

Ein Windows-Host wurde mit der Guildma (Astaroth) Malware über eine bösartige portugiesische E-Mail aus Brasilien infiziert, die einen geozonierten Link enthielt. Der Angriff liefert ein ZIP-Archiv mit einer Windows-Verknüpfung, die Inhalte in einen alternativen Datenstrom im Temp-Verzeichnis herunterlädt, bevor sie eine auf AutoIt basierende Payload installiert. Die Malware stellt dann die Persistenz auf dem kompromittierten System her.

Untersuchung

Die Untersuchung reproduzierte die Infektion in einem Labor mithilfe eines geozonierten Links, der so konfiguriert war, dass Malware nur dann bereitgestellt wird, wenn brasilianische Sprach- und Regionaleinstellungen erkannt wurden. Die Analyse deckte die Verwendung einer Windows-Verknüpfung, alternativer Datenströme und eines AutoIt-Skripts zur Herstellung der Persistenz auf. Forscher untersuchten auch den Netzwerkverkehr in Wireshark, um Command-and-Control-Domänen (C2) zu identifizieren.

Minderung

Organisationen sollten E-Mail-Filterung verwenden, um verdächtige Links und Anhänge zu blockieren, wobei besonderes Augenmerk auf geozonierte oder lokalisierte Phishing-Kampagnen gelegt werden sollte. Sicherheitsteams sollten überwachen .lnk Dateien, die Inhalte in Temp-Verzeichnisse herunterladen und die Erstellung alternativer Datenströme erkennen. Nicht autorisierte AutoIt-Ausführung und ungewöhnliche Persistenzartefakte in öffentlichen Verzeichnissen sollten ebenfalls überwacht werden.

Reaktion

Wenn Guildma-Aktivität erkannt wird, sollten betroffene Hosts sofort isoliert werden, um weitere C2-Kommunikation zu beenden. Ermittler sollten nach unautorisierten Dateien in AppDataLocalTemp and C:UsersPublicLibraries. Netzwerkprotokolle sollten auch auf Verbindungen zu bekannten bösartigen Domänen und verdächtige Nutzung legitimer Dienste wie GitHub oder WhatsApp zur Datenexfiltration überprüft werden.

## Ausführung der Simulation

• Angriffserzählung & Befehle: Der Gegner zielt darauf ab, mit der Guildma-Malware-Technik Fuß zu fassen. Zuerst platzieren sie eine speziell angefertigte Verknüpfungsdatei namens 868283789726483.lNk in ein Verzeichnis. Sobald der Benutzer damit interagiert (oder es per Skript ausgelöst wird), erstellt die Malware eine versteckte Konfigurations-/Logdatei in C:UsersPublicLibraries.cachePLAXBeatz.LEDPRO.09662.8729.422.log. Um der Erkennung weiter zu entgehen, verwendet die Malware einen alternativen Datenstrom, um zusätzliche Payloads in dieser Logdatei zu verstecken. Diese spezifische Sequenz der Dateinamen-Erstellung ist das Ziel der Erkennungsregel.

• Regressionstestscript:

  # Guildma-Malware-Infektionssimulationsscript
  # Dieses Skript generiert die spezifischen Dateiereignisse, die von der Erkennungsregel verlangt werden.
  
  $targetDir = "C:UsersPublicLibraries.cachePLAX"
  $lnkFile = "868283789726483.lNk"
  $logFile = "Beatz.LEDPRO.09662.8729.422.log"
  
  # 1. Erstellen Sie die Verzeichnisstruktur
  if (!(Test-Path $targetDir)) {
      New-Item -Path $targetDir -ItemType Directory -Force | Out-Null
  }
  
  # 2. Simulieren Sie die Erstellung der .LNK-Datei (Auswahl 1)
  # Wir erstellen dies im aktuellen Verzeichnis, um einen Download/Extraktion zu simulieren
  New-Item -Path ".$lnkFile" -ItemType "File" -Force | Out-Null
  Write-Host "[+] Verknüpfungsdatei erstellt: $lnkFile"
  
  # 3. Simulieren Sie die Erstellung der bösartigen Logdatei (Auswahl 2)
  # Diese Datei wird in dem spezifischen Pfad erstellt, der in der Regel erwähnt wird
  $logPath = Join-Path $targetDir $logFile
  New-Item -Path $logPath -ItemType "File" -Force | Out-Null
  Write-Host "[+] Logdatei erstellt: $logPath"
  
  # 4. Simulieren Sie die Verwendung von alternativen Datenströmen (ADS), wie in der Regel beschrieben
  # Dies schreibt Inhalte in den 'content'-Stream der Logdatei
  Set-Content -Path $logPath -Stream "content" -Value "Bösartige Payload-Daten"
  Write-Host "[+] Alternativen Datenstrom auf $logFile angewendet"
  
  Write-Host "[!] Simulation abgeschlossen. Überprüfen Sie SIEM auf Warnungen."

• Bereinigungskommandos:

  # Bereinigungsskript, um simulierte Artefakte zu entfernen
  Remove-Item -Path ".868283789726483.lNk" -ErrorAction SilentlyContinue
  Remove-Item -Path "C:UsersPublicLibraries" -Recurse -Force -ErrorAction SilentlyContinue
  Write-Host "[+] Bereinigung abgeschlossen."