Zaproszenie do Katastrofy: Jak Jeden Klik Instaluję RAT-a

Podsumowanie

Cyberprzestępcy używają phishingowych e-maili udających zaproszenia na wydarzenia towarzyskie do dystrybucji złośliwego oprogramowania. Ofiary są przekierowywane przez fałszywy przycisk RSVP do strony z weryfikacją CAPTCHA, a następnie do złośliwego serwisu pobierania. Atak kończy się instalacją Trojana zdalnego dostępu (RAT), dającego atakującym szeroką kontrolę nad zainfekowanym urządzeniem.

Śledztwo

Centrum Obroną przed Phishingiem Cofense zidentyfikowało kampanię opierającą się na niejasnym, wzbudzającym ciekawość inżynierii społecznej. Badacze odkryli wieloetapowy przepływ infekcji, używający strony CAPTCHA hostowanej na nowo zarejestrowanej, nieoznaczonej domenie, aby stworzyć fałszywe poczucie legitymizacji. Końcowy ładunek to legalna aplikacja do zdalnego wsparcia, użyta w celu uzyskania złośliwego dostępu.

Łagodzenie

Organizacje powinny zapewnić szkolenie pracowników skoncentrowane na rozpoznawaniu technik inżynierii społecznej związanych z niejasnymi, pilną potrzebą lub opartymi na ciekawości wabikami e-mailowymi. Techniczne zabezpieczenia powinny obejmować bramy bezpieczeństwa e-mail, które blokują podejrzane adresy URL, oraz monitorowanie nieautoryzowanych narzędzi do zdalnego dostępu. Ochrona punktów końcowych powinna również sygnalizować prawdziwe oprogramowanie, gdy jest wykonywane w podejrzanych lub nieoczekiwanych kontekstach.

Odpowiedź

Po wykryciu złośliwej aktywności natychmiast izoluj zaatakowany komputer od sieci, aby zapobiec dalszemu nieautoryzowanemu dostępowi. Przeprowadź kompleksowe śledztwo kryminalistyczne, aby określić zakres kompromitacji i zidentyfikować potencjalne wycieki danych. Zresetuj hasła zaatakowanych użytkowników i przeglądaj dzienniki systemowe pod kątem nieautoryzowanych połączeń, mechanizmów utrzymywania obecności lub innych podejrzanych działań.

Symulacja Wykonania

• Narracja ataku i polecenia: Przeciwnik rozpoczyna atak typu spearphishing, wysyłając e-mail z linkiem do fałszywego „Zaproszenia na wydarzenie.” Po kliknięciu użytkownik zostaje poproszony o pobranie pliku. W tej symulacji symulujemy ostatni etap, w którym użytkownik wykonuje pobrane ScreenConnect.ClientSetup.exe. Celem jest ustanowienie przyczółka zdalnego dostępu. Wykonanie tego konkretnego nazwy pliku wywoła alert o wysokiej powadze.

• Skrypt testu regresyjnego:

  # Skrypt symulacji: Wyzwól wykrywanie ScreenConnect
  # Uwaga: Tworzymy plik testowy z docelową nazwą, aby symulować wykonanie
  # bez faktycznej instalacji potencjalnie złośliwego oprogramowania.
  
  $targetName = "ScreenConnect.ClientSetup.exe"
  $tempPath = Join-Path $env:TEMP $targetName
  
  Write-Host "[+] Tworzenie pliku testowego: $tempPath"
  New-Item -Path $tempPath -ItemType File -Force
  
  Write-Host "[+] Symulowanie wykonania $targetName..."
  # Użycie Start-Process do wygenerowania zdarzenia utworzenia procesu (Zdarzenie ID 1 / 4688)
  Start-Process -FilePath $tempPath -WindowStyle Hidden -ErrorAction SilentlyContinue
  
  Write-Host "[+] Komenda symulacji zakończona. Sprawdź SIEM dla alertu."

• Polecenia czyszczące:

  # Skrypt czyszczenia
  $targetName = "ScreenConnect.ClientSetup.exe"
  $tempPath = Join-Path $env:TEMP $targetName
  
  if (Test-Path $tempPath) {
      Remove-Item -Path $tempPath -Force
      Write-Host "[+] Wyczyściłem plik testowy: $tempPath"
  } else {
      Write-Host "[-] Plik testowy nie znaleziony. Nic do wyczyszczenia."
  }