Una Campagna Legata ad APT36 Usa KMS Auto in un’Intrusione Multistadio

Riepilogo

È stata osservata un’intrusione multistadio che iniziava con l’abuso di KMS Auto per distribuire una sequenza di carichi malevoli. La catena di attacco è passata dal cryptomining tramite XMRig all’installazione di accesso remoto utilizzando ScreenConnect e MeshAgent, culminando in un payload scareware che si fingeva ransomware. Lo stadio finale ha utilizzato tattiche psicologiche cambiando sfondi e mostrando falsi avvisi di riscatto senza effettiva crittografia dei file.

Indagine

K7Labs ha analizzato una sequenza di eventi in cui un’iniziale esecuzione di KMS Auto ha portato a una serie di attività post-compromissione con un intervallo costante di 12-24 ore tra le fasi. La telemetria ha tracciato il dispiegamento di XMRig, seguito da strumenti di gestione remota legittimi utilizzati in modo malevolo, e infine un payload denominato SecurityHealthServices.exe. L’analisi ha confermato che il payload finale era uno scareware progettato per simulare un comportamento da ransomware tramite defacement visivo e manipolazione delle estensioni dei file.

Mitigazione

Le organizzazioni dovrebbero limitare l’uso di utility di attivazione software non autorizzate e monitorare l’esecuzione di strumenti a doppio uso noti come XMRig o software RMM non autorizzati. Implementare una rigorosa whitelist applicativa e monitorare estensioni di file insolite o rinominazioni massive di file può aiutare a mitigare l’impatto. Gli utenti dovrebbero essere istruiti a evitare repository di software non ufficiali e siti torrent per il download di utility.

Risposta

Al momento del rilevamento, isolare il punto finale interessato per prevenire ulteriori stadi dell’infezione multistadio. Eseguire una completa scansione forense per i file nascosti in AppData e molteplici meccanismi di persistenza nelle cartelle di avvio e nelle chiavi di esecuzione del registro. Verificare la presenza di strumenti di gestione remota non autorizzati come ScreenConnect o MeshAgent per identificare l’estensione dell’accesso dell’attaccante.

Esecuzione Simulazione

• Narrativa & Comandi dell’Attacco: Un avversario ha ottenuto l’accesso iniziale e intende distribuire un miner di criptovaluta e strumenti di accesso remoto per mantenere una presenza a lungo termine e monetizzare la violazione. L’attaccante esegue prima uno strumento denominato kmsauto_setup.exe da una directory temporanea. Quindi tenta di avviare xmrig.exe per iniziare l’hijacking delle risorse. Per facilitare il controllo remoto, rilasciano ed eseguono meshagent.exe. Questa sequenza crea i modelli di stringhe specifici che la regola di rilevamento è progettata per catturare.

• Script di Test di Regressione:

  # Simulazione di esecuzione multistadio in stile APT36 per la validazione della regola
  $tempDir = "$env:TEMPSimulatedAttack"
  New-Item -ItemType Directory -Path $tempDir -Force | Out-Null
  
  # 1. Simulare esecuzione KMS Auto (Innescando 'kmsauto' nel percorso dell'immagine)
  $kmsPath = Join-Path $tempDir "kmsauto_installer.exe"
  New-Item -Path $kmsPath -ItemType File -Force | Out-Null
  Write-Host "[+] Simulando esecuzione KMS Auto..."
  Start-Process $kmsPath -ArgumentList "/silent" -ErrorAction SilentlyContinue
  
  # 2. Simulare esecuzione XMRig (Innescando 'xmrig' nella CommandLine)
  $xmrigPath = Join-Path $tempDir "xmrig.exe"
  New-Item -Path $xmrigPath -ItemType File -Force | Out-Null
  Write-Host "[+] Simulando esecuzione XMRig..."
  Start-Process $xmrigPath -ArgumentList "--donate-level=1 --cpu-max-threads-pct=50" -ErrorAction SilentlyContinue
  
  # 3. Simulare esecuzione MeshAgent (Innescando 'meshagent' nella CommandLine)
  $meshPath = Join-Path $tempDir "meshagent.exe"
  New-Item -Path $meshPath -ItemType File -Force | Out-Null
  Write-Host "[+] Simulando esecuzione MeshAgent..."
  Start-Process $meshPath -ArgumentList "--install" -ErrorAction SilentlyContinue
  
  Write-Host "[!] Simulazione completata. Controlla SIEM per avvisi."

• Comandi di Pulizia:

  # Pulizia degli artefatti di simulazione
  $tempDir = "$env:TEMPSimulatedAttack"
  if (Test-Path $tempDir) {
      Remove-Item -Path $tempDir -Recurse -Force
      Write-Host "[+] Pulizia completata con successo: $tempDir rimosso."
  } else {
      Write-Host "[!] Pulizia fallita: Directory non trovata."
  }