Хакери, пов’язані з державою Китаю, поєднують автоматизовані інструменти з ручними атаками

Резюме

Актори, пов’язані з китайським урядом, за підтримки Integrity Technology Group, використовують комбінацію автоматизованих інструментів сканування, масштабних ботнетів та ручної експлуатації. Вони націлюються на конфіденційні дані в критичних секторах інфраструктури, використовуючи вразливості в веб-застосунках і серверах Microsoft Exchange. Актори застосовують різні техніки для забезпечення стійкості, викрадення облікових даних та ексфільтрації даних для досягнення своїх цілей.

Розслідування

Розслідування проводилося множиною міжнародних агентств, включаючи ФБР, CISA, NSA та інших, на основі технічних доказів, отриманих з кількох розслідувань, пов’язаних з Integrity Technology Group. Аналітики спостерігали використання кастомних інструментів, таких як MicroScan, EBurst і Curlc4.txt, поряд зі стандартними техніками living-off-the-land. Результати виявили певне шкідливе ПЗ, таке як live700_v1.exe і використання SoftEther VPN для забезпечення стійкості.

Послаблення загроз

Організаціям слід пріоритезувати вимкнення неиспользуемых служб та портів і очистку вхідних даних веб-застосунків, щоб запобігти атакам впровадження. Впровадження багатофакторної аутентифікації (MFA) для всіх служб і прийняття сильних політик управління ідентифікацією та доступом (ICAM) є критично важливими. Крім того, своєчасне встановлення патчів програмного забезпечення та прошивки рекомендовано для зменшення ризику експлуатації.

Відповідь

Після виявлення організаціям слід ізолювати скомпрометовані хости та ініціювати пошук загроз, щоб визначити повний масштаб вторгнення. Перегляньте відповідні журнали та артефакти, щоб ідентифікувати конкретні TTP та час проведених дій. Систематично впроваджуйте контрзаходи для виселення, використовуючи встановлені сценарії дій, щоб стримати та ліквідувати зловмисника з мережі.

Виконання моделювання

• Сценарій атаки та команди: Зловмисник отримав початковий доступ до робочої станції. Щоб забезпечити стійкість та уникнути виявлення аналітиками SOC, які шукають невідомі бінарні файли, зловмисник застосовує техніку «Замаскування». Вони беруть простий нешкідливий виконуваний файл (у цьому випадку, calc.exe) і перейменують його в DiagTrack.exe. Потім вони виконують цей перейменований файл з нестандартного каталогу (C:UsersPublic). Ця дія призначена для того, щоб запустити правило виявлення, яке контролює виконання DiagTrack.exe коли воно використовується як інструмент маскування.

• Скрипт регресного тестування:

  # Скрипт моделювання: замаскування як DiagTrack.exe
  $TargetDir = "C:UsersPublicDownloads"
  $MaliciousName = "DiagTrack.exe"
  $SourceBinary = "C:WindowsSystem32calc.exe"
  
  # 1. Створіть каталог, якщо він не існує
  if (!(Test-Path $TargetDir)) {
      New-Item -ItemType Directory -Path $TargetDir -Force | Out-Null
  }
  
  # 2. Скопіюйте та перейменуйте бінарний файл для маскування
  Copy-Item -Path $SourceBinary -Destination "$TargetDir$MaliciousName" -Force
  
  # 3. Виконайте замаскований бінарний файл, щоб викликати виявлення
  Write-Host "[+] Виконання замаскованого бінарного файлу: $TargetDir$MaliciousName"
  Start-Process -FilePath "$TargetDir$MaliciousName"
  
  Write-Host "[+] Моделювання завершено. Перевірте SIEM для виявлення."

• Команди для очищення:

  # Скрипт очищення
  $TargetDir = "C:UsersPublicDownloads"
  $MaliciousName = "DiagTrack.exe"
  
  if (Test-Path "$TargetDir$MaliciousName") {
      Remove-Item -Path "$TargetDir$MaliciousName" -Force
      Write-Host "[+] Очищення успішне: $MaliciousName видалено."
  } else {
      Write-Host "[-] Очищення не вдалося: Файл не знайдено."
  }