Due malware loader a confronto: dalla consegna ClickFix al C2

Riepilogo

Gli attori delle minacce si affidano sempre più alle tecniche ClickFix e TerminalFix per distribuire loader malware, tra cui Lorem Ipsum Loader e Axolotl Loader. Questi loader spesso servono come precursori al rilascio di ransomware attraverso il sideloading di DLL, gli installer MSI e l’esecuzione di Node.js. Le campagne incorporano anche tecniche avanzate di evasione come l’unhooking di ntdll e payload crittografati incorporati all’interno di sezioni DLL personalizzate.

Indagine

I ricercatori hanno analizzato campioni di Lorem Ipsum e Axolotl Loader per esaminare le loro catene di consegna e le caratteristiche tecniche. L’indagine ha scoperto installer MSI trojanizzati, script PowerShell multi-stadio, e una caratteristica .cpoc sezione all’interno delle DLL utilizzate per l’archiviazione delle risorse. L’analisi comparativa ha anche rivelato differenze nella comunicazione C2, nei meccanismi di evasione e nelle tecniche di persistenza tra le due famiglie di loader.

Mitigazione

Le organizzazioni dovrebbero monitorare la telemetria di Sysmon per il sideloading di DLL e le relazioni sospette tra processi genitore-figlio, inclusi il lancio di file batch tramite PowerShell. Si raccomanda di imporre controlli rigorosi sull’esecuzione degli installer MSI e di rilevare le DLL non firmate nelle directory scrivibili dagli utenti. I team di sicurezza dovrebbero anche ispezionare il traffico di rete per identificare User-Agent insoliti, come Firefox/143, e modelli di registrazione C2 sospetti associati alle infezioni attive.

Risposta

Quando viene rilevata attività malevola, isolare gli host interessati ed eseguire un’analisi forense delle directory scrivibili dagli utenti come C:WindowsTemp o C:UsersPublic. Ricercare task pianificati e chiavi di esecuzione nel Registro, utilizzando nomi casuali. Conducete ricerche retrospettive nei log DNS e proxy per individuare domini e indirizzi IP C2 noti e determinare l’estensione della compromissione.

Esecuzione della Simulazione

• Narrativa dell’Attacco & Comandi: Un avversario ha ottenuto l’accesso iniziale e sta tentando di distribuire un loader malware modulare. Per evitare gli AV basati su firma semplice, usano PowerShell per chiamare un loader personalizzato. Il loader utilizza librerie runtime specifiche (libgcc_s_seh-1.dll) e richiede flag specifici (-AgentDll) per inizializzare il payload in memoria. L’obiettivo dell’attaccante è stabilire una connessione C2 persistente caricando questi componenti attraverso una catena di esecuzione guidata da PowerShell.

• Script di Test di Regressione:

  # Script di Simulazione per la Validazione del Rilevamento
  # Questo script imita il comportamento definito nella regola Sigma
  
  $workingDir = $env:TEMP
  $dllName = "libgcc_s_seh-1.dll"
  $dllPath = Join-Path $workingDir $dllName
  
  Write-Host "[+] Creazione di DLL fittizia per la simulazione..."
  New-Item -Path $dllPath -ItemType File -Force | Out-Null
  
  Write-Host "[+] Esecuzione del comando PowerShell per attivare la selezione1 (nome DLL nella riga di comando)..."
  Start-Process powershell.exe -ArgumentList "-Command `& {Write-Output 'Caricamento $dllPath'}`" -NoNewWindow
  
  Write-Host "[+] Esecuzione del comando PowerShell per attivare la selezione2 (flag AgentDll)..."
  Start-Process powershell.exe -ArgumentList "-AgentDll -DepsDir C:Temp -Shim" -NoNewWindow
  
  Write-Host "[+] Simulazione Completa."

• Comandi di Pulizia:

  # Script di Pulizia
  $workingDir = $env:TEMP
  $dllName = "libgcc_s_seh-1.dll"
  $dllPath = Join-Path $workingDir $dllName
  
  if (Test-Path $dllPath) {
      Remove-Item -Path $dllPath -Force
      Write-Host "[+] DLL fittizia ripulita."
  } else {
      Write-Host "[!] DLL non trovata, nulla da ripulire."
  }