UAC-0099 和 Sandworm 通过 Yggdrasil 部署 MythicRatatoskr 后门

概要

与 INC 和 The Gentlemen 勒索软件组织相关的成员正在利用 AI 驱动的入侵生态系统来自动化侦察、命令生成和数据分拣。操作人员使用名为 Phantom 的自定义框架以及商业 LLMs 来支持大规模入侵。在重大操作安全失败暴露了指挥和控制服务器以及存储的 AI 会话数据后，该基础设施遭到曝光。

调查

调查始于研究人员发现一个暴露的指挥和控制服务器 45.227.254.43，该服务器托管开放目录，包含 Phantom 源代码和 AI 会话数据库。对暴露的配置文件和凭据的分析随后揭示了六个额外的对手控制的服务器。研究人员识别出一个高度自动化的工作流程，其中 AI 执行大部分技术操作，而人类操作员保持监督。

缓解措施

组织应优先修补边缘系统，特别是 FortiClient EMS、SimpleHelp 和 cPanel，以关闭常见的初始访问路径。跨 RMM、VPN 和远程访问平台强制执行多因素身份验证 (MFA) 对减少凭据重用风险至关重要。防御者还应启用 EDR 防篡改保护，并监控安全服务的未经授权终止或已知漏洞驱动程序的加载。

响应

当识别到恶意活动时，隔离受影响的边缘设备，并在 EMS 和 RMM 平台中审核管理帐户以检查未经授权的添加。检查 VPN 连接脚本是否有可疑更改，并立即更换被破坏的凭据。对计划任务和活动的反向 SOCKS 隧道进行彻底检查，以识别并终止持久的 C2 通道。

模拟执行

• 攻击叙述 & 命令： 对手旨在利用 MythicRatatoskr 后门在目标主机上建立持久性。为了模拟检测，攻击者将执行三个不同的操作：1）执行包含特定 “MATCHWOK 后门” 字符串的命令来触发 选择1；2）在高度特定的路径中放置恶意二进制文件 C:windowssystem32updater.exe 来触发 选择2； 3）创建名为的新的 Windows 服务 WindowsDefenderSvc.exe 来触发 选择3。 这模仿了多阶段部署，其中初始访问导致高权限持久性。

• 回归测试脚本：

  # MATCHWOK/MythicRatatoskr 检测验证的模拟脚本
  # 注意：此脚本必须以管理员权限运行。
  
  Write-Host "[*] 开始模拟..." -ForegroundColor Cyan
  
  # 1. 触发选择 1：命令行包含 'MATCHWOK backdoor'
  Write-Host "[+] 触发选择 1 (命令行)..." -ForegroundColor Yellow
  Start-Process cmd.exe -ArgumentList "/c echo This is a simulation of the MATCHWOK backdoor execution" -WindowStyle Hidden
  
  # 2. 触发选择 2：图像是 'C:windowssystem32updater.exe'
  Write-Host "[+] 触发选择 2 (文件路径)..." -ForegroundColor Yellow
  $targetPath = "C:WindowsSystem32updater.exe"
  if (Test-Path $targetPath) { Remove-Item $targetPath -Force }
  New-Item -Path $targetPath -ItemType File -Force | Out-Null
  Start-Process $targetPath -ArgumentList "/silent" -ErrorAction SilentlyContinue
  
  # 3. 触发选择 3：服务名称是 'WindowsDefenderSvc.exe'
  Write-Host "[+] 触发选择 3 (服务名称)..." -ForegroundColor Yellow
  $serviceName = "WindowsDefenderSvc.exe"
  # 创建运行 'cmd.exe' 的虚拟服务
  New-Service -Name $serviceName -BinaryPathName "C:WindowsSystem32cmd.exe /c echo persistence" -DisplayName "Windows Defender Security Service" -StartupType Manual
  
  Write-Host "[*] 模拟完成。" -ForegroundColor Green

• 清理命令：

  # 清理脚本
  Write-Host "[!] 清理模拟工件..." -ForegroundColor Red
  
  # 删除服务
  Stop-Service -Name "WindowsDefenderSvc.exe" -ErrorAction SilentlyContinue
  sc.exe delete "WindowsDefenderSvc.exe"
  
  # 删除恶意文件
  Remove-Item "C:WindowsSystem32updater.exe" -Force -ErrorAction SilentlyContinue
  
  Write-Host "[*] 清理完成。" -ForegroundColor Green