Chinesische staatlich verbundene Hacker kombinieren automatisierte Tools mit manuellen Angriffen

Zusammenfassung

Chinesische, regierungsnahe Akteure, unterstützt von der Integrity Technology Group, nutzen eine Kombination aus automatisierten Scan-Tools, groß angelegten Botnetzen und manueller Ausnutzung. Sie zielen auf sensible Daten in kritischen Infrastruktursektoren ab, indem sie Schwachstellen in Webanwendungen und Microsoft Exchange-Servern ausnutzen. Die Akteure setzen verschiedene Techniken zur Persistenz, zum Diebstahl von Zugangsdaten und zur Datenexfiltration ein, um ihre Ziele zu erreichen.

Untersuchung

Die Untersuchung wurde von mehreren internationalen Agenturen, einschließlich FBI, CISA, NSA und anderen, basierend auf technischen Beweisen aus mehreren Untersuchungen zur Integrity Technology Group durchgeführt. Analysten beobachteten den Einsatz von benutzerdefinierten Tools wie MicroScan, EBurst und Curlc4.txt, neben den üblichen ‚Living-off-the-land‘-Techniken. Die Ergebnisse zeigten spezifische Malware wie live700_v1.exe und die Verwendung von SoftEther VPN zur Persistenz.

Minderung

Organisationen sollten Priorität darauf legen, ungenutzte Dienste und Ports zu deaktivieren und Eingaben in Webanwendungen zu bereinigen, um Injektionsangriffe zu verhindern. Die Implementierung einer Multifaktor-Authentifizierung (MFA) für alle Dienste und die Einführung starker Identitäts- und Zugriffsmanagement- (ICAM) Richtlinien sind entscheidend. Darüber hinaus wird empfohlen, Software und Firmware zeitnah zu patchen, um das Risiko der Ausbeutung zu verringern.

Reaktion

Bei Erkennung sollten Organisationen kompromittierte Hosts isolieren und Bedrohungsjagden einleiten, um das volle Ausmaß des Einbruchs zu bestimmen. Relevante Protokolle und Artefakte sollten überprüft werden, um spezifische TTPs und einen Aktivitätszeitplan zu identifizieren. Implementieren Sie systematisch Ausweihungsgegenmaßnahmen mit etablierten Playbooks, um den Bedrohungsakteur aus dem Netzwerk zu entfernen.

Simulation Ausführung

• Angriffsgeschichte & Befehle: Der Gegner hat ursprünglichen Zugang zum Arbeitsplatz erlangt. Um Persistenz aufrechtzuerhalten und der Entdeckung durch SOC-Analysten, die nach unbekannten Binärdateien suchen, zu entgehen, führt der Gegner eine „Maskerading“-Technik durch. Sie nehmen eine einfache harmlose ausführbare Datei (in diesem Fall, calc.exe) und benennen diese in DiagTrack.exeum. Sie führen dann diese umbenannte Datei aus einem nicht standardmäßigen Verzeichnis aus (C:BenutzerÖffentlich). Diese Aktion soll die Erkennungsregel auslösen, die die Ausführung von DiagTrack.exe überwacht, wenn es als Maskierungswerkzeug verwendet wird.

• Regressionstest-Skript:

  # Simulations-Skript: Maskerade als DiagTrack.exe
  $TargetDir = "C:BenutzerÖffentlichDownloads"
  $MaliciousName = "DiagTrack.exe"
  $SourceBinary = "C:WindowsSystem32calc.exe"
  
  # 1. Verzeichnis erstellen, wenn es nicht existiert
  if (!(Test-Path $TargetDir)) {
      New-Item -ItemType Directory -Path $TargetDir -Force | Out-Null
  }
  
  # 2. Binärdatei kopieren und umbenennen, um zu maskieren
  Copy-Item -Path $SourceBinary -Destination "$TargetDir$MaliciousName" -Force
  
  # 3. Die maskierte Binärdatei ausführen, um die Erkennung auszulösen
  Write-Host "[+] Maskierte Binärdatei ausführen: $TargetDir$MaliciousName"
  Start-Process -FilePath "$TargetDir$MaliciousName"
  
  Write-Host "[+] Simulation abgeschlossen. Überprüfen Sie SIEM auf Erkennung."

• Aufräumbefehle:

  # Aufräumskript
  $TargetDir = "C:BenutzerÖffentlichDownloads"
  $MaliciousName = "DiagTrack.exe"
  
  if (Test-Path "$TargetDir$MaliciousName") {
      Remove-Item -Path "$TargetDir$MaliciousName" -Force
      Write-Host "[+] Aufräumen erfolgreich: $MaliciousName entfernt."
  } else {
      Write-Host "[-] Aufräumen fehlgeschlagen: Datei nicht gefunden."
  }