Mitternachtsblizzard mit groß angelegter Spionagekampagne verbunden

Zusammenfassung

ReversingLabs identifizierte eine großangelegte Spionagekampagne, die mit der russischen Bedrohungsgruppe Midnight Blizzard in Verbindung steht. Die Operation verwendet einen PowerShell-Stager namens ChocoShell und eine Go-basierte Hintertür namens CornFlake, um Anmeldedaten zu stehlen und Persistenz aufrechtzuerhalten. Angeblich nutzte der Bedrohungsakteur Claude AI, um Softwareimplants neu zu erstellen und erneut einzusetzen, um der Erkennung zu entgehen.

Untersuchung

Forscher erweiterten zwei anfängliche Malware-Hashes durch Telemetrieanalyse und entdeckten dabei einen Staging-Server, fünf zusätzliche Stager-Varianten, Lockdokumente und zugehörige Phishing-Infrastruktur. Die Untersuchung zeigte, dass sich die Malware-Hashes aufgrund von KI-gestützten Neuentwicklungen häufig änderten, das Kernverhalten und die C2-Kommunikationsmuster blieben jedoch über die Proben hinweg weitgehend konsistent.

Minderung

Organisationen sollten die Aktivität der Microsoft Entra ID-Anmeldung auf verdächtige Gerätecode-Authentifizierungsversuche hin überprüfen. Die Blockierung von Gerätecode-Flows durch Bedingten Zugriff wird empfohlen, wenn dies betrieblich umsetzbar ist. Sicherheitsteams sollten auch eine netzwerkweite Blockierung für identifizierte C2-IP-Adressen und bösartige ähnlich klingende Domains, die mit der Kampagne in Verbindung stehen, implementieren.

Reaktion

Wenn bösartige Aktivitäten entdeckt werden, sollten die Reaktionskräfte potenziellen Diebstahl von Microsoft 365-Token und Gerätecode-Phishing-Versuche untersuchen. Prüfen Sie auf unberechtigte Dienstanträge und verdächtige Prozesse, die von LocalAppData ausgeführt werden. Überprüfen Sie PowerShell-Skriptblöcke auf eingebettete rohe IP-Adressen, ungewöhnliche Befehle und spezifische Phasenbezeichnungen, die mit der beobachteten Angriffskette in Verbindung stehen.

Simulationsexecution

• Angriffserzählung & Befehle: Der Angreifer versucht, Persistenz zu erreichen und der Erkennung zu entgehen, indem er sich als legitime Windows-Dienstkomponente tarnt. Der Angreifer erstellt eine Verzeichnisstruktur AppDataLocalMicrosoftsvchost32 und legt eine bösartige Binärdatei ab, die svchost32.exegenannt wird. Indem er einen ähnlichen Namen wie den legitimen svchost.exeverwendet, hofft der Angreifer, im Rauschen eines beschäftigten Systems unterzugehen. Sobald sie platziert ist, wird die Binärdatei ausgeführt, um die Aktivität der Go-basierten Hintertür zu simulieren.

• Regressionstestskript:

  # Simulationsskript zur Erkennung von Midnight Blizzard svchost32.exe
  $targetDir = "$env:LOCALAPPDATAMicrosoftsvchost32"
  $executableName = "svchost32.exe"
  $executablePath = Join-Path $targetDir $executableName
  
  # 1. Erstellen Sie die Verzeichnisstruktur
  if (!(Test-Path $targetDir)) {
      New-Item -Path $targetDir -ItemType Directory -Force | Out-Null
      Write-Host "[+] Verzeichnis erstellt: $targetDir"
  }
  
  # 2. Erstellen Sie eine Dummy-Datei, die die Malware darstellt (nachahmung des Dateinamens/Pfads)
  # In einem realen Szenario wäre dies die tatsächliche Go-Hintertür-Binärdatei
  New-Item -Path $executablePath -ItemType File -Force | Out-Null
  Write-Host "[+] Dummy-Executable erstellt: $executablePath"
  
  # 3. Führen Sie die "Malware" aus, um das Sysmon-Ereignis-ID 1 auszulösen
  Write-Host "[!] Simulierte Hintertür wird ausgeführt..."
  Start-Process -FilePath $executablePath -ArgumentList "/silent" -ErrorAction SilentlyContinue
  Write-Host "[+] Ausführung abgeschlossen. SIEM auf Erkennung überprüfen."

• Bereinigungskommandos:

  # Bereinigungsskript zum Entfernen simulierter Artefakte
  $targetDir = "$env:LOCALAPPDATAMicrosoftsvchost32"
  if (Test-Path $targetDir) {
      Remove-Item -Path $targetDir -Recurse -Force
      Write-Host "[+] Simulationsverzeichnis und -dateien entfernt: $targetDir"
  } else {
      Write-Host "[-] Verzeichnis nicht gefunden, nichts zu reinigen."
  }