Тихий але небезпечний майнер: Компіляція майнера через кінцевий пристрій

Резюме

Зловмисник скористався вразливістю в Samsung MagicINFO, щоб отримати початковий доступ до керованої кінцевої точки. Замість розгортання попередньо підготовленого бінарного файлу, зловмисник скомпілював власний Monero криптомайнер безпосередньо на зламаному хості, використовуючи кілька компіляторів C та утиліт .NET. Цей підхід дозволив оптимізацію для специфічного середовища, але також створив дуже помітну телеметрію EDR через раптове збільшення активності компіляції.

Розслідування

Дослідники Huntress виявили вторгнення через незвичайну телеметрію EDR, пов’язану з установкою Samsung MagicINFO. Під час розслідування активність була відстежена до сервісу Apache Tomcat (tomcat9.exe), що виконував команди для завантаження AnyDesk через certutil та PowerShell. Аналітики також спостерігали, як зловмисник створює обліковий запис локального адміністратора, вимикає Windows Defender і запускає кілька компіляторів для створення криптомайнера.

Пом’якшення

Організації повинні негайно виправляти всі інтернет-доступні установки Samsung MagicINFO, щоб вирішити відомі вразливості. Захисники повинні моніторити повторні спроби завантаження інструментів віддаленого доступу (RMM) та несподівані виконання компіляторів на кінцевих точках. Обмеження публічного доступу до програмного забезпечення управління цифровою вивіскою також може зменшити площу атаки.

Реакція

При виявленні підозрілої активності компілятора або несанкціонованих завантажень RMM слід негайно ізолювати уражену кінцеву точку, щоб запобігти виконанню додаткових завдань. Проведіть повне судово-медичне розслідування для визначення вектора початкового доступу, включаючи вразливі веб-сервіси. Перевірте локальні облікові записи користувачів на несанкціоновані додатки та перевірте цілісність систем безпеки, таких як Microsoft Defender.

Виконання симуляцій

• Наратив атаки та команди: Супротивник отримав початковий доступ і прагне забезпечити довгострокову стійкість і уникнути виявлення. Спочатку зловмисник створює локального користувача з ім’ям oldadministrator і додає його до групи локальних адміністраторів. Щоб Windows Defender не позначив їх подальші завантаження інструментів, зловмисник викликає SystemSettingsAdminFlows.exe з параметром disable . Ця специфічна послідовність призначена для імітації відомої схеми, яку використовують деякі сімейства криптомайнерів для послаблення захисту хоста.

• Скрипт регресійного тестування:

  # Скрипт симуляції: Виклик 'oldadministrator' та виявлення відключення Defender
  # Примітка: Цей скрипт повинен виконуватися з правами адміністратора
  
  Write-Host "[+] Початок симуляції..." -ForegroundColor Cyan
  
  # 1. Створіть специфічне ім'я користувача, необхідне для правила виявлення
  Write-Host "[+] Створення облікового запису: oldadministrator" -ForegroundColor Yellow
  net user oldadministrator Password123! /add
  net localgroup administrators oldadministrator /add
  
  # 2. Імітувати відключення Defender через SystemSettingsAdminFlows.exe
  # Використовуємо стратегічний шаблон команди, яку шукає правило
  Write-Host "[+] Виконання SystemSettingsAdminFlows.exe з параметром 'disable'" -ForegroundColor Yellow
  Start-Process "C:WindowsSystem32SystemSettingsAdminFlows.exe" -ArgumentList "disable" -ErrorAction SilentlyContinue
  
  Write-Host "[+] Симуляція завершена. Перевірте SIEM на наявність оповіщень." -ForegroundColor Green

• Команди очищення:

  # Скрипт очищення: Видалення артефактів симуляції
  Write-Host "[+] Очищення артефактів симуляції..." -ForegroundColor Cyan
  
  # Видаліть створеного користувача
  net user oldadministrator /delete
  
  # Примітка: Ми не "повторно включаємо" захисник через скрипт, щоб уникнути змін системного стану 
  # якщо спеціально не потрібно для стабільності тестового середовища.