Два завантажувачі шкідливих програм порівняно: від доставки ClickFix до C2

Резюме

Зловмисники все частіше покладаються на техніки ClickFix і TerminalFix для доставки завантажувачів шкідливого програмного забезпечення, включаючи Lorem Ipsum Loader та Axolotl Loader. Ці завантажувачі часто служать передвісниками розгортання програм-вимагачів через завантаження DLL, установники MSI та виконання Node.js. Кампанії також включають передові методи ухилення, такі як видалення гачків ntdll і зашифровані корисні навантаження, вбудовані в спеціальні секції DLL.

Розслідування

Дослідники проаналізували зразки Lorem Ipsum і Axolotl Loader, щоб вивчити їх ланцюги доставки та технічні характеристики. Розслідування виявило троянізовані установники MSI, багатоступеневі PowerShell скрипти та характерний .cpoc сектор у DLL, що використовуються для зберігання ресурсів. Порівняльний аналіз також виявив відмінності в C2-комунікаціях, механізмах ухилення та техніках збереження по сімействам завантажувачів.

Пом’якшення

Організаціям слід моніторити телеметрію Sysmon для завантаження DLL і підозрілих відношень батько-дитина процесів, наприклад, запуск PowerShell, що запускає batch-файли. Рекомендується встановлювати суворі контролі над виконанням установників MSI та виявлення незавірених DLL у директоріях з правами запису користувача. Командам безпеки також слід перевіряти мережевий трафік на наявність незвичних User-Agents, таких як Firefox/143, і підозрілих шаблонів реєстрації C2, що асоційовані з активними інфекціями.

Відповідь

При виявленні шкідливої активності ізолюйте уражені хости і проведіть судову експертизу директорій з правами запису користувача, таких як C:WindowsTemp або C:UsersPublic. Полюйте на заплановані завдання та ключі запуску реєстру з використанням випадкових імен. Проведіть ретроспективні пошуки по DNS і проксі-журналах для відомих C2-доменів і IP-адрес, щоб визначити масштаб компрометації.

Виконання симуляції

• Історія атаки та команди: Зловмисник отримав початковий доступ і намагається розгорнути модульний завантажувач шкідливого ПЗ. Щоб уникнути простого AV на основі підписів, вони використовують PowerShell для виклику спеціального завантажувача. Завантажувач використовує певні бібліотеки виконання часу (libgcc_s_seh-1.dll) і потрібні певні прапорці (-AgentDll), щоб ініціалізувати корисне навантаження в пам’яті. Мета зловмисника — встановити постійне з’єднання C2, завантажуючи ці компоненти через ланцюг виконання, керований PowerShell.

• Скрипт тестування на регресію:

  # Скрипт симуляції для оцінки виявлення
  # Цей скрипт імітує поведінку, визначену у Sigma rule
  
  $workingDir = $env:TEMP
  $dllName = "libgcc_s_seh-1.dll"
  $dllPath = Join-Path $workingDir $dllName
  
  Write-Host "[+] Створення пробного DLL для симуляції..."
  New-Item -Path $dllPath -ItemType File -Force | Out-Null
  
  Write-Host "[+] Виконання команди PowerShell для виклику вибору1 (ім'я DLL у командному рядку)..."
  Start-Process powershell.exe -ArgumentList "-Command `& {Write-Output 'Loading $dllPath'}`" -NoNewWindow
  
  Write-Host "[+] Виконання команди PowerShell для виклику вибору2 (флаг AgentDll)..."
  Start-Process powershell.exe -ArgumentList "-AgentDll -DepsDir C:Temp -Shim" -NoNewWindow
  
  Write-Host "[+] Симуляція завершена."

• Команди видалення:

  # Скрипт очищення
  $workingDir = $env:TEMP
  $dllName = "libgcc_s_seh-1.dll"
  $dllPath = Join-Path $workingDir $dllName
  
  if (Test-Path $dllPath) {
      Remove-Item -Path $dllPath -Force
      Write-Host "[+] Очищено пробний DLL."
  } else {
      Write-Host "[!] DLL не знайдено, нічого не треба очищати."
  }