KI-generierte Payloads befeuern CL-UNK-1211-Angriffe auf Regierungsorganisationen

Zusammenfassung

Ein hochentwickelter Bedrohungscluster, der als CL-UNK-1211 verfolgt wird, zielt mit KI-generierten Nutzlasten und Skripten auf staatliche Einrichtungen ab. Die Angreifer konzentrieren sich hauptsächlich auf Linux-Umgebungen, um Aufklärung durchzuführen, Datenbanken zu extrahieren und sensible Informationen einschließlich Postfachdaten zu exfiltrieren. Die Kampagne umfasst benutzerdefinierte Go-basierte RATs, Web-Shells und fortschrittliche antiforensische Techniken, die darauf ausgelegt sind, die Sichtbarkeit zu reduzieren.

Untersuchung

Unit 42 analysierte die Angriffskette vom initialen Zugriff über Web-Shells bis hin zu seitlicher Bewegung und Datenexfiltration. Die Untersuchung deckte charakteristische, KI-generierte Gesprächskommentare in bösartigen Skripten auf, die auf automatisierte oder LLM-unterstützte Codeerstellung hindeuten. Analysten identifizierten auch benutzerdefinierte Malware namens SysGoRAT zusammen mit verschiedenen In-Memory-Reverse-Shell-Techniken.

Minderung

Organisationen sollten strikte ausgehende Firewall-Richtlinien durchsetzen, um unbefugte Reverse-Shells und Datenexfiltration zu verhindern. Die Stärkung von Linux-Umgebungen durch rechtzeitige Behebung von Schwachstellen wie PwnKit und die Sicherung von PHP-Konfigurationen, einschließlich auto_prepend_file, ist entscheidend. Die Implementierung eines fortschrittlichen Endpunktschutzes, der in der Lage ist, anomales Prozessverhalten und Log-Manipulation zu identifizieren, wird ebenfalls dringend empfohlen.

Reaktion

Wenn bösartige Aktivitäten entdeckt werden, sollten Incident Responder kompromittierte Linux-Hosts isolieren und alle PHP- und Shell-Konfigurationen auf unbefugte Änderungen überprüfen. Führen Sie eine gründliche Untersuchung der Systemprotokolle durch, wobei mögliche Angreifer-Versuche, diese zu löschen oder zu manipulieren, berücksichtigt werden sollten. Führen Sie einen umfassenden Berechtigungs-Reset für alle in der betroffenen Umgebung identifizierten administrativen und Dienstkonten durch.

Ausführung der Simulation

• Angriffsgeschichte & Befehle: Der Angreifer hat anfänglichen Zugriff auf einen Linux-basierten Produktionsserver erlangt. Um Persistenz sicherzustellen und zu verhindern, dass ihre Aktivitäten vom EDR markiert werden, beabsichtigen sie, den Cortex XDR-Agenten zu deaktivieren. Der Angreifer verwendet zuerst pgrep um die laufenden Prozesse zu identifizieren, die mit „cortex“ in Verbindung stehen. Sobald die Namen bestätigt sind, verwenden sie pkill um ein Beendigungssignal an alle Prozesse zu senden, die diesem Muster entsprechen. Dies ist ein klassischer Ansatz des „Living off the Land“ unter Verwendung von Standard-Systembinärdateien, um signaturbasierte Malware-Warnungen zu vermeiden.

• Regressionstestskript:

  #!/bin/bash
  # Simulationsskript zum Auslösen der "Verteidigungsvermeidung durch Beendigung von Cortex XDR-Prozessen"-Regel.
  
  echo "[+] Starte Simulation: Identifikation von Cortex-Prozessen..."
  # Dies erzeugt die 'pgrep cortex' Telemetrie
  epgrep cortex || echo "[-] Kein Cortex-Prozess gefunden, aber Telemetrie generiert."
  
  echo "[+] Simuliere Angriff: Versuch, Cortex-Prozesse zu beenden..."
  # Dies erzeugt die 'pkill cortex' Telemetrie
  pkill cortex || echo "[-] pkill ausgeführt (Ziel wahrscheinlich nicht im Betrieb)."
  
  echo "[+] Simulation abgeschlossen."

• Bereinigungsbefehle:

  # Dieses Simulationsskript nimmt keine dauerhaften Änderungen vor.
  # Wenn ein Prozess tatsächlich gestoppt wurde (in einer realen Testumgebung), 
  # müsste der Dienst neu gestartet werden:
  # sudo systemctl start cortex-agent
  echo "[+] Bereinigung: Keine Artefakte zu entfernen."