Chińscy hakerzy powiązani z państwem łączą zautomatyzowane narzędzia z ofensywami ręcznymi

Podsumowanie

Powiązani z chińskim rządem aktorzy, wspierani przez Integrity Technology Group, wykorzystują kombinację narzędzi do automatycznego skanowania, dużych botnetów i ręcznej eksploatacji. Celują w dane wrażliwe w sektorach krytycznej infrastruktury, używając podatności w aplikacjach webowych i serwerach Microsoft Exchange. Aktorzy stosują różne techniki persystencji, kradzieży poświadczeń i eksfiltracji danych, aby osiągnąć swoje cele.

Śledztwo

Śledztwo prowadzone było przez wiele międzynarodowych agencji, w tym FBI, CISA, NSA i inne, w oparciu o dowody techniczne odzyskane z wielu śledztw związanych z Integrity Technology Group. Analitycy zaobserwowali użycie niestandardowych narzędzi takich jak MicroScan, EBurst i Curlc4.txt, obok standardowych technik wykradania zasobów systemowych. Znaleziono specyficzne złośliwe oprogramowanie takie jak live700_v1.exe oraz użycie SoftEther VPN do zapewnienia persystencji.

Zabezpieczenie

Organizacje powinny priorytetowo wyłączyć nieużywane usługi i porty oraz dezynfekować dane wprowadzane do aplikacji webowych, aby zapobiec atakom wstrzykiwania. Ważne jest wdrożenie uwierzytelniania wieloskładnikowego (MFA) dla wszystkich usług oraz przyjęcie silnych polityk zarządzania tożsamością i dostępem (ICAM). Ponadto zaleca się regularne łatanie oprogramowania i firmware, aby zmniejszyć ryzyko eksploatacji.

Reakcja

Po wykryciu organizacje powinny izolować zainfekowane hosty i rozpocząć śledzenie zagrożeń w celu określenia pełnego zakresu włamania. Przejrzyj odpowiednie logi i artefakty, aby zidentyfikować konkretne TTP i chronologię aktywności. Wdróż środki przeciwdziałania systematycznie, korzystając z ustalonych książki operacji, aby ograniczyć i wyeliminować aktora zagrożeń z sieci.

Wykonanie symulacji

• Narracja ataku & polecenia: Przeciwnik uzyskał dostęp początkowy do stacji roboczej. Aby utrzymać persystencję i uniknąć wykrycia przez analityków SOC poszukujących nieznanych binariów, przeciwnik stosuje technikę „Maskarada”. Bierze prosty nieszkodliwy plik wykonywalny (w tym przypadku, calc.exe) i zmienia jego nazwę na DiagTrack.exe. Następnie uruchamia ten plik z nie-standardowego katalogu (C:UsersPublic). Działanie to ma na celu wywołanie reguły wykrywania, która monitoruje uruchomienie DiagTrack.exe gdy jest on używany jako narzędzie maskarady.

• Skript testowania regresyjnego:

  # Skrypt symulacji: Maskarada jako DiagTrack.exe
  $TargetDir = "C:UsersPublicDownloads"
  $MaliciousName = "DiagTrack.exe"
  $SourceBinary = "C:WindowsSystem32calc.exe"
  
  # 1. Utwórz katalog, jeśli nie istnieje
  if (!(Test-Path $TargetDir)) {
      New-Item -ItemType Directory -Path $TargetDir -Force | Out-Null
  }
  
  # 2. Skopiuj i zmień nazwę pliku binarnego, aby się przebrać
  Copy-Item -Path $SourceBinary -Destination "$TargetDir$MaliciousName" -Force
  
  # 3. Uruchom przebrany plik binarny, aby uruchomić wykrycie
  Write-Host "[+] Uruchamianie przebrańca binarnego: $TargetDir$MaliciousName"
  Start-Process -FilePath "$TargetDir$MaliciousName"
  
  Write-Host "[+] Symulacja zakończona. Sprawdź SIEM pod kątem wykrycia."

• Polecenia czyszczenia:

  # Skrypt czyszczenia
  $TargetDir = "C:UsersPublicDownloads"
  $MaliciousName = "DiagTrack.exe"
  
  if (Test-Path "$TargetDir$MaliciousName") {
      Remove-Item -Path "$TargetDir$MaliciousName" -Force
      Write-Host "[+] Czyszczenie zakończone sukcesem: $MaliciousName usunięty."
  } else {
      Write-Host "[-] Czyszczenie nie powiodło się: Plik nie znaleziony."
  }