Кампанія, пов’язана з APT36, використовує KMS Auto у багатостадійному вторгненні

Резюме

Було виявлено багатоступеневе вторгнення, що почалося з зловживання KMS Auto для постачання послідовності шкідливих програм. Ланцюг атаки переходив від видобутку криптовалюти за допомогою XMRig до розгортання віддаленого доступу з використанням ScreenConnect і MeshAgent, що завершилося шкідливим програмним забезпеченням, яке маскувалося під програму-вимагач. Останній етап використовував психологічні тактики шляхом зміни шпалер і відображення фальшивих повідомлень про викуп без фактичного шифрування файлів.

Розслідування

K7Labs проаналізував послідовність подій, де початкове виконання KMS Auto призвело до серії посткомпрометаційних дій з інтервалом 12-24 години між етапами. Телеметрія відстежила розгортання XMRig, за яким йшли легітимні інструменти віддаленого управління, використані зі зловмисною метою, і, нарешті, програма під назвою SecurityHealthServices.exe. Аналіз підтвердив, що кінцеве шкідливе ПЗ було scareware, яке імітувало поведінку програми-вимагача через візуальне спотворення і маніпуляцію розширеннями файлів.

Пом’якшення

Організації повинні обмежити використання несанкціонованих інструментів активації програмного забезпечення та контролювати виконання відомих інструментів подвійного призначення, таких як XMRig або несанкціоноване ПЗ для віддаленого управління (RMM). Впровадження строгого білого списку додатків та контроль за незвичайними розширеннями файлів або масовим перейменуванням файлів може допомогти зменшити враження. Користувачів слід навчати уникати неофіційних репозиторіїв програмного забезпечення та торрент-сайтів для завантаження інструментів.

Відповідь

Після виявлення ізолюйте уражену кінцеву точку, щоб запобігти подальшим етапам багатоступеневого зараження. Проведіть повне судово-медичне обстеження прихованих файлів у AppData та кількох механізмів стійкості у папках запуску та ключах реєстру. Розслідуйте наявність несанкціонованих інструментів віддаленого керування, таких як ScreenConnect або MeshAgent, щоб визначити обсяг доступу зловмисника.

Виконання симуляції

• Опіс атаки та команди: Зловмисник отримав початковий доступ і має намір розгорнути майнер для криптовалюти та інструменти віддаленого доступу для підтримки тривалої присутності та монетизації злому. Атакуючий спочатку виконує інструмент під назвою kmsauto_setup.exe з тимчасового каталогу. Потім вони намагаються запустити xmrig.exe для початку захоплення ресурсів. Для полегшення віддаленого контролю вони скидають і виконують meshagent.exe. Ця послідовність створює конкретні шаблони рядків, які правило виявлення призначене вловити.

• Регресійний тестовий скрипт:

  # Симуляція багатоступеневого виконання в стилі APT36 для перевірки правил
  $tempDir = "$env:TEMPSimulatedAttack"
  New-Item -ItemType Directory -Path $tempDir -Force | Out-Null
  
  # 1. Симуляція виконання KMS Auto (Викликаючи 'kmsauto' у Image path)
  $kmsPath = Join-Path $tempDir "kmsauto_installer.exe"
  New-Item -Path $kmsPath -ItemType File -Force | Out-Null
  Write-Host "[+] Симуляція виконання KMS Auto..."
  Start-Process $kmsPath -ArgumentList "/silent" -ErrorAction SilentlyContinue
  
  # 2. Симуляція виконання XMRig (Викликаючи 'xmrig' у CommandLine)
  $xmrigPath = Join-Path $tempDir "xmrig.exe"
  New-Item -Path $xmrigPath -ItemType File -Force | Out-Null
  Write-Host "[+] Симуляція виконання XMRig..."
  Start-Process $xmrigPath -ArgumentList "--donate-level=1 --cpu-max-threads-pct=50" -ErrorAction SilentlyContinue
  
  # 3. Симуляція виконання MeshAgent (Викликаючи 'meshagent' у CommandLine)
  $meshPath = Join-Path $tempDir "meshagent.exe"
  New-Item -Path $meshPath -ItemType File -Force | Out-Null
  Write-Host "[+] Симуляція виконання MeshAgent..."
  Start-Process $meshPath -ArgumentList "--install" -ErrorAction SilentlyContinue
  
  Write-Host "[!] Симуляція завершена. Перевірте SIEM для оповіщень."

• Команди очищення:

  # Очищення артефактів симуляції
  $tempDir = "$env:TEMPSimulatedAttack"
  if (Test-Path $tempDir) {
      Remove-Item -Path $tempDir -Recurse -Force
      Write-Host "[+] Очищення успішне: $tempDir видалено."
  } else {
      Write-Host "[!] Очищення не вдалося: Каталог не знайдено."
  }