Підозрюється зв’язок Midnight Blizzard з масштабною кампанією шпигунства

Резюме

ReversingLabs виявила масштабну шпигунську кампанію, пов’язану з російською групою загроз Midnight Blizzard. Операція використовує стагер PowerShell під назвою ChocoShell і бекдор на базі Go під назвою CornFlake для крадіжки облікових даних і підтримання стійкості. Повідомляється, що зловмисник використовував Claude AI для відновлення і повторного розгортання програмних закладок з метою уникнення виявлення.

Розслідування

Дослідники розширили два початкові хеші шкідливого ПЗ через аналіз телеметрії, виявивши сервер постановки, п’ять додаткових варіантів стагеру, документів-приманок і пов’язану інфраструктуру фішингу. Розслідування показало, що хоча хеші шкідливого ПЗ часто змінювалися через відновлення за допомогою AI, основна поведінка і шаблони зв’язку C2 залишалися здебільшого постійними серед зразків.

Пом’якшення

Організації повинні переглядати активність входу в систему Microsoft Entra ID на наявність підозрілих спроб аутентифікації за допомогою коду пристрою. Блокування потоків коду пристрою через Кондиціональний доступ рекомендується там, де це є операційно можливим. Команди безпеки також повинні реалізувати блокування на рівні мережі для виявлених IP-адрес C2 і шкідливих доменів-самозванців, пов’язаних з кампанією.

Реагування

Коли виявляється шкідлива активність, відповідачі повинні розслідувати можливе викрадення токена Microsoft 365 і спроби фішингу за допомогою коду пристрою. Перевіряйте наявність несанкціонованого створення служб і підозрілих процесів, що виконуються з LocalAppData. Переглядайте блоки скриптів PowerShell на предмет включених сирих IP-адрес, незвичайних команд і специфічних міток етапів, пов’язаних із виявленим ланцюгом атаки.

Виконання Симуляції

• Опік і Команди Атаки: Супротивник намагається встановити стійкість і уникнути виявлення, маскуючись під легітимний компонент служби Windows. Атакувальник створює структуру каталогів AppDataLocalMicrosoftsvchost32 і зберігає шкідливий виконуваний файл під назвою svchost32.exe. Використовуванням імені, схожого на легітимний svchost.exe, атакувальник сподівається злитися з фоном завантаженої системи. Після розміщення файл виконується для імітації активності бекдора на основі Go.

• Сценарій для Регресійного Тестування:

  # Сценарій симуляції для виявлення svchost32.exe від Midnight Blizzard
  $targetDir = "$env:LOCALAPPDATAMicrosoftsvchost32"
  $executableName = "svchost32.exe"
  $executablePath = Join-Path $targetDir $executableName
  
  # 1. Створіть структуру каталогів
  if (!(Test-Path $targetDir)) {
      New-Item -Path $targetDir -ItemType Directory -Force | Out-Null
      Write-Host "[+] Створено каталог: $targetDir"
  }
  
  # 2. Створіть фіктивний файл для представлення зловмисного ПЗ (імітація імені файлу/шляху)
  # У реальному сценарії це буде фактичний бекдор на Go
  New-Item -Path $executablePath -ItemType File -Force | Out-Null
  Write-Host "[+] Створено фіктивний виконуваний файл: $executablePath"
  
  # 3. Виконайте "шкідливе ПЗ", щоб спровокувати подію Sysmon ID 1
  Write-Host "[!] Виконання симульованого бекдора..."
  Start-Process -FilePath $executablePath -ArgumentList "/silent" -ErrorAction SilentlyContinue
  Write-Host "[+] Виконання завершено. Перевірте SIEM для виявлення."

• Команди для очищення:

  # Сценарій очищення для видалення симульованих артефактів
  $targetDir = "$env:LOCALAPPDATAMicrosoftsvchost32"
  if (Test-Path $targetDir) {
      Remove-Item -Path $targetDir -Recurse -Force
      Write-Host "[+] Видалено каталог і файли симуляції: $targetDir"
  } else {
      Write-Host "[-] Каталог не знайдено, нічого очищувати."