Angreifer nutzen Kameraverwaltungssoftware für den Erstzugriff

Zusammenfassung

Angreifer kompromittieren Kamera-Management-Software, um initialen Zugriff auf Unternehmensumgebungen zu erlangen. Nach der Etablierung des Zugriffs setzen sie eine Reverse-Shell ein und nutzen DLL-Sideloading durch legitime Windows-Binärdateien, um Persistenz zu gewährleisten und eine Command-and-Control-Kommunikation einzurichten. Dieser Ansatz ermöglicht es schädlichem Code, neben vertrauenswürdigen Systemprozessen ausgeführt zu werden, und hilft Angreifern, der Erkennung zu entgehen.

Untersuchung

Analysten von Huntress identifizierten eine Kampagne, in der CMS.exe als erster Einstiegspunkt diente. Die Untersuchung deckte die Bereitstellung von rs.win32.exe in benutzerbeschreibbaren Verzeichnissen auf, gefolgt von Missbrauch von WpcMon.exe zum Sideloading modifizierter zlib-DLLs. Die Netzwerk-Analyse bestätigte auch Beaconing-Aktivitäten, die mit einer bestimmten externen IP-Adresse kommunizieren.

Abschwächung

Organisationen sollten Kamera-Management-Plattformen inventarisieren, den Zugriff darauf einschränken und diese Systeme als Teil der kritischen Angriffsfläche behandeln. Die Implementierung von Anwendungskontrollen zur Verhinderung des Starts von ausführbaren Dateien und DLLs aus benutzerbeschreibbaren Verzeichnissen wie AppData wird dringend empfohlen. Verteidiger sollten auch auf ungewöhnliche Prozessketten achten, die legitime Windows-Binärdateien beinhalten.

Reaktion

Wird diese Aktivität erkannt, sollten Sicherheitsteams betroffene Endpunkte isolieren, um weitere seitliche Bewegungen oder C2-Kommunikation zu verhindern. Überprüfen Sie die Prozessbäume auf Instanzen von CMS.exe or rs.win32.exe aus unbekannten Verzeichnissen. Führen Sie eine umfassende Suche in der Umgebung nach den identifizierten schädlichen DLLs und der zugehörigen C2-IP-Adresse durch. WpcMon.exe from non-standard directories. Conduct an environment-wide hunt for the identified malicious DLLs and associated C2 IP address.

Simulationsausführung

• Angriffserzählung & Befehle: Der Gegner hat erfolgreich initialen Zugriff über einen Phishing-Anhang erzielt. Um Persistenz und Command-and-Control zu etablieren, beabsichtigen sie, eine „Living off the Land“ (LotL)-Technik zu verwenden. Sie werden rundll32.exe verwenden, um eine Netzwerkabfrage an den bekannten C2-Server 144.172.116.37zu stellen. Dies dient dazu, sich in legitime Windows-Systemprozesse einzufügen und es erschwert die Erkennung der schädlichen Aktivität allein über Prozessnamenerkennung. Das Ziel ist, die Firewall-Regel auszulösen, indem eine Verbindung zur gesperrten IP aufgebaut wird.

• Regressions-Test-Skript:

  # Simulationsskript, um die C2-IP-Erkennungsregel auszulösen
  # Wir verwenden rundll32, um eine Verbindung zur Ziel-IP herzustellen
  # Hinweis: Dies kann einen Fehler in der Konsole erzeugen, da die IP kein gültiger DLL-Einstiegspunkt ist, 
  # aber der Netzwerkverbindungsversuch wird vom Betriebssystem/Firewall protokolliert.
  
  $C2_IP = "144.172.116.37"
  Write-Host "C2-Verbindungssimulation zu $C2_IP via rundll32.exe..."
  Start-Process "rundll32.exe" -ArgumentList "javascript:alert('C2_SIM');$C2_IP" -WindowStyle Hidden
  
  # Alternative Methode mit PowerShell, um den Verbindungsversuch sicherzustellen
  Write-Host "Versuch, eine TCP-Verbindung zu $C2_IP auf Port 443 herzustellen..."
  $tcpClient = New-Object System.Net.Sockets.TcpClient
  try {
      $tcpClient.Connect($C2_IP, 443)
  } catch {
      Write-Host "Verbindung ist erwartungsgemäß fehlgeschlagen (IP ist wahrscheinlich nicht erreichbar), aber Telemetrie sollte generiert werden."
  } finally {
      $tcpClient.Close()
  }

• Aufräum-Befehle:

  # Durch diese spezifische Simulation werden keine dauerhaften Artefakte erstellt
  Write-Host "Simulationsaufräumen abgeschlossen. Keine Dateien oder Registrierungsschlüssel modifiziert."