Кампанія DarkBlinders націлена на жертв із використанням передових тактик шпигунства

Резюме

DarkBlinders – це активна кібершпигунська кампанія, націлена на урядові та дипломатичні організації в Ізраїлі та Курдистанському регіоні Іраку. Зловмисник використовує складні фішингові приманки, зокрема підроблені програми для відеозустрічей та репліки хмарних сховищ, для розповсюдження користувацького шкідливого програмного забезпечення. Операція також використовує GitHub-репозиторії для командно-керуючої (C2) інфраструктури та застосовує вибіркову активацію для другого етапу бекдору.

Дослідження

Dream Research Labs провела детальний аналіз кампанії DarkBlinders і виявила багатоступеневий ланцюжок зараження, до якого входить маска додатку StarkMeet. Дослідники здійснили реверс-інжиніринг шкідливого ПЗ та отримали доступ лише на читання до GitHub-базованої C2-інфраструктури зловмисника. Ця видимість дозволила їм ідентифікувати призначення жертв і спостерігати за ексфільтрацією понад 1 ГБ даних з урядового хмарного середовища.

Захист

Організації повинні запровадити суворий контроль на встановлення неперевіреного програмного забезпечення та моніторинг незвичайних висхідних з’єднань зі спільними послугами, такими як GitHub, з не-розробницьких систем. Також рекомендується підвищений контроль за посиланнями на хмарні сховища та підозрілими повідомленнями на електронну пошту. Моніторинг несанкціонованого виконання PowerShell через AppDomainManager або завантаження в пам’ять також може допомогти ідентифікувати діяльність, пов’язану з цим способом завантаження.

Реагування

Коли діяльність DarkBlinders буде виявлено, ізолюйте уражені хости, щоб зупинити подальшу ексфільтрацію даних і зберегти пам’ять для судового аналізу корисних навантажень в пам’яті. Перегляньте особисті токени доступу до GitHub та журнали доступу до репозиторіїв, якщо підозріла діяльність стосується середовища розробки організації. Перезапустіть облікові дані для всіх облікових записів, які могли бути розкриті через виявлену фішингову інфраструктуру.

Виконання симуляції

• Опис атаки та команди: Зловмисник має на меті встановити постійність і віддалений доступ, використовуючи інструментарій DarkBlinders. Після початкового доступу, зловмисник запускає приманку додатку під назвою StarkMeet.exe. Щоб уникнути виявлення, шкідливе програмне забезпечення виконуює shell-команду для завантаження подальших навантажень. У цій симуляції ми вручну створимо підроблений StarkMeet.exe та запустимо його cmd.exe, що відповідає логіці правила: (StarkMeet.exe) ТА (cmd).

• Скрипт регресійного тестування:

  # Скрипт симуляції: Тригер компонента DarkBlinders
  # 1. Створення підробленого файлу, що представляє компонент DarkBlinders
  $dummyPath = "$env:TEMPStarkMeet.exe"
  New-Item -Path $dummyPath -ItemType File -Force
  
  # 2. Використовуємо невелике навантаження, щоб зробити 'виконавчий' фактично виконуючим команду 
  # Для цілей симуляції ми будемо використовувати обгортку PowerShell для запуску 'шкідливого' процесу
  # який імітує поведінку компонента, що викликає cmd.exe.
  
  Write-Host "[+] Імітація виконання компонента DarkBlinders..."
  
  # Ми використовуємо Start-Process, щоб змоделювати процес StarkMeet.exe, що запускає cmd.exe
  # Примітка: У реальній ситуації бінарний файл сам виконає запуск.
  # Щоб запустити специфічну логіку 'Image' правила Sigma, ми повинні перейменувати процес або 
  # змоделювати виконання цього специфічного імені файлу.
  
  # Тому що ми не можемо легко скомпілювати реальний бінарний файл тут, ми моделюємо
  # подію створення процесу, яку Sysmon побачить, коли StarkMeet.exe запускає cmd.exe.
  
  Start-Process -FilePath "$env:TEMPStarkMeet.exe" -ArgumentList "cmd.exe /c echo 'Triggering Detection'" -ErrorAction SilentlyContinue
  
  # Так як ми не можемо фактично 'запустити' небінарний файл, ми використовуємо цю команду, щоб створити 
  # точну модель телеметрії через змодельоване створення процесу, якщо це можливо, 
  # або просто визнаємо, що для спрацювання правила файл має існувати.
  
  # РЕАЛІСТИЧНИЙ ПІДХІД ДЛЯ ТЕСТУ:
  # Ми створимо невеликий виконуваний файл або використаємо відомий спосіб назвати процес.
  # Для цього скрипта ми припускаємо, що середовище дозволяє перейменувати системний інструмент на StarkMeet.exe
  Copy-Item "C:WindowsSystem32cmd.exe" -Destination "$env:TEMPStarkMeet.exe"
  Start-Process -FilePath "$env:TEMPStarkMeet.exe" -ArgumentList "/c echo DetectionTriggered"
  
  Write-Host "[+] Команда симуляції відправлена. Перевірте SIEM для StarkMeet.exe + cmd/powershell."

• Команди очищення:

  # Очищення симуляційних артефактів
  Remove-Item -Path "$env:TEMPStarkMeet.exe" -Force -ErrorAction SilentlyContinue
  Write-Host "[+] Очищення завершено."