UAC-0099 i Sandworm wdrażają MythicRatatoskr Backdoor za pośrednictwem Yggdrasil

Podsumowanie

Afilianci powiązani z grupami ransomware INC i The Gentlemen wykorzystują ekosystem inwazji oparty na AI do automatyzacji rozpoznania, generowania poleceń i procedury triagowania danych. Operatorzy używają własnego frameworku o nazwie Phantom, wspieranego przez komercyjne LLM, aby wspierać inwazje na dużą skalę. Infrastruktura została ujawniona po znaczących błędach OPSEC, które ujawniły serwery dowodzenia i kontroli oraz zapisane sesje AI.

Śledztwo

Śledztwo rozpoczęło się po tym, jak badacze znaleźli odkryty serwer dowodzenia i kontroli pod adresem 45.227.254.43, który hostował otwarte katalogi zawierające kod źródłowy Phantom i bazy danych sesji AI. Analiza ujawnionych plików konfiguracyjnych i poświadczeń odkryła następnie sześć dodatkowych serwerów kontrolowanych przez przeciwników. Badacze zidentyfikowali wysoce zautomatyzowany przepływ pracy, w którym AI wykonuje większość technicznych operacji, podczas gdy operatorzy ludzcy utrzymują nadzór.

Łagodzenie

Organizacje powinny priorytetowo zająć się łatając systemy brzegowe, szczególnie FortiClient EMS, SimpleHelp oraz cPanel, aby zamknąć powszechnie używane ścieżki pierwszego dostępu. Wdrażanie wieloczynnikowej autoryzacji (MFA) w platformach RMM, VPN oraz dostępu zdalnego jest kluczowe, aby zmniejszyć ryzyko ponownego użycia poświadczeń. Obrońcy powinni również włączyć ochronę EDR przed manipulacją i monitorować nieautoryzowane zakończenia usług zabezpieczeń lub ładowanie znanych podatnych sterowników.

Reakcja

Po zidentyfikowaniu złośliwej działalności należy odizolować zaatakowane urządzenia brzegowe oraz przeprowadzić audyt kont administracyjnych w platformach EMS i RMM w poszukiwaniu nieautoryzowanych dodanych elementów. Przejrzeć skrypty połączeń VPN pod kątem podejrzanych zmian i natychmiast obrócić naruszone poświadczenia. Przeprowadzić dokładne przeszukanie zadań harmonogramu i aktywnych tuneli SOCKS odwrotnych, aby zidentyfikować i zakończyć trwałe kanały C2.

Symulacja wykonania

• Narracja ataku & polecenia: Przeciwnik ma na celu ustanowienie trwałości na celu z wykorzystaniem tylnych furtek MythicRatatoskr. Aby zasymulować wykrycie, atakujący wykona trzy różne działania: 1) Wykonanie polecenia zawierającego specyficzny łańcuch „MATCHWOK backdoor”, aby wywołać wybór1; 2) Umieszczenie złośliwego pliku binarnego na bardzo specyficznej ścieżce C:windowssystem32updater.exe aby wywołać wybór2; i 3) Utworzenie nowej usługi Windows o nazwie WindowsDefenderSvc.exe aby wywołać wybór3. To imituje wielostopniowe wdrożenie, w którym początkowy dostęp prowadzi do trwałości z wysokimi uprawnieniami.

• Skrypt testu regresji:

  # Skrypt symulacyjny do walidacji wykrywania MATCHWOK/MythicRatatoskr
  # UWAGA: Ten skrypt musi być uruchomiony z uprawnieniami Administratora.
  
  Write-Host "[*] Rozpoczynanie symulacji..." -ForegroundColor Cyan
  
  # 1. Wywołanie Wybór 1: Wiersz polecenia zawiera 'MATCHWOK backdoor'
  Write-Host "[+] Wywoływanie wyboru 1 (Wiersz polecenia)..." -ForegroundColor Yellow
  Start-Process cmd.exe -ArgumentList "/c echo To jest symulacja wykonania tylnych furtek MATCHWOK" -WindowStyle Hidden
  
  # 2. Wywołanie Wybór 2: Obraz to 'C:windowssystem32updater.exe'
  Write-Host "[+] Wywoływanie wyboru 2 (Ścieżka pliku)..." -ForegroundColor Yellow
  $targetPath = "C:WindowsSystem32updater.exe"
  if (Test-Path $targetPath) { Remove-Item $targetPath -Force }
  New-Item -Path $targetPath -ItemType File -Force | Out-Null
  Start-Process $targetPath -ArgumentList "/silent" -ErrorAction SilentlyContinue
  
  # 3. Wywołanie Wybór 3: Nazwa usługi to 'WindowsDefenderSvc.exe'
  Write-Host "[+] Wywoływanie wyboru 3 (Nazwa usługi)..." -ForegroundColor Yellow
  $serviceName = "WindowsDefenderSvc.exe"
  # Tworzenie fikcyjnej usługi, która uruchamia 'cmd.exe'
  New-Service -Name $serviceName -BinaryPathName "C:WindowsSystem32cmd.exe /c echo persistence" -DisplayName "Windows Defender Security Service" -StartupType Manual
  
  Write-Host "[*] Symulacja zakończona." -ForegroundColor Green

• Polecenia czyszczenia:

  # Skrypt czyszczenia
  Write-Host "[!] Czyszczenie artefaktów symulacji..." -ForegroundColor Red
  
  # Usunięcie usługi
  Stop-Service -Name "WindowsDefenderSvc.exe" -ErrorAction SilentlyContinue
  sc.exe delete "WindowsDefenderSvc.exe"
  
  # Usunięcie złośliwego pliku
  Remove-Item "C:WindowsSystem32updater.exe" -Force -ErrorAction SilentlyContinue
  
  Write-Host "[*] Czyszczenie zakończone." -ForegroundColor Green