Atakujący Wykorzystują Oprogramowanie do Zarządzania Kamerami dla Uzbierania Początkowego Dostępu

Streszczenie

Atakujący kompromitują oprogramowanie do zarządzania kamerami, aby uzyskać początkowy dostęp do środowisk przedsiębiorstw. Po nawiązaniu dostępu wdrażają odwróconą powłokę i używają sideloadingu DLL przez legalne binaria Windows, aby utrzymać trwałość i ustanowić sygnały dowodzenia i kontroli. To podejście pozwala na wykonanie złośliwego kodu obok zaufanych procesów systemowych i pomaga atakującym uniknąć wykrycia.

Badanie

Analitycy Huntress zidentyfikowali kampanię, w której CMS.exe służył jako początkowy punkt wejścia. Dochodzenie odkryło wdrożenie rs.win32.exe w katalogach zapisanych przez użytkownika, a następnie niewłaściwe wykorzystanie WpcMon.exe do ładowania zmodyfikowanych bibliotek zlib DLL. Analiza sieciowa potwierdziła również aktywność sygnałów komunikujących z określonym zewnętrznym adresem IP.

Łagodzenie

Organizacje powinny sporządzić inwentaryzację platform zarządzania kamerami, ograniczyć do nich dostęp i traktować te systemy jako część krytycznej powierzchni ataku. Zastosowanie kontroli aplikacji, aby zapobiec uruchamianiu plików wykonywalnych i DLL-ów z miejsc zapisywalnych przez użytkownika, takich jak AppData jest mocno zalecane. Obrońcy powinni także monitorować nietypowe łańcuchy procesów z użyciem legalnych binariów Windows.

Odpowiedź

Kiedy zostanie wykryta ta aktywność, zespoły ds. bezpieczeństwa powinny izolować dotknięte punkty, aby zapobiec dalszemu ruchowi bocznemu lub komunikacji C2. Przejrzyj drzewa procesów w poszukiwaniu CMS.exe or rs.win32.exe uruchamianych WpcMon.exe z nietypowych katalogów. Przeprowadź globalne przeszukanie środowiska w celu znalezienia zidentyfikowanych złośliwych bibliotek DLL i powiązanego adresu IP C2.

Wykonanie Symulacji

• Narracja ataku i komendy: Przeciwnik pomyślnie uzyskał początkowy dostęp przez załącznik phishingowy. Aby ustanowić trwałość i dowodzenie oraz kontrolę, zamierza użyć techniki „Living off the Land” (LotL). Użyje rundll32.exe do wykonania zapytania sieciowego do znanego serwera C2 144.172.116.37. Jest to robione, aby wtopić się w legalne procesy systemowe Windows, co utrudnia podstawowym detekcjom opartym na nazwie procesu identyfikację złośliwej aktywności. Celem jest wywołanie reguły zapory przez wygenerowanie połączenia do czarnej listy IP.

• Skrypt testu regresji:

  # Skrypt symulacji do wywołania reguły detekcji IP C2
  # Używamy rundll32 do nawiązania połączenia z docelowym IP
  # Uwaga: Może to spowodować błąd w konsoli, ponieważ IP nie jest prawidłowym punktem wejścia DLL,
  # ale próba połączenia sieciowego zostanie zalogowana przez system operacyjny/zaporę.
  
  $C2_IP = "144.172.116.37"
  Write-Host "Symulacja połączenia C2 do $C2_IP przez rundll32.exe..."
  Start-Process "rundll32.exe" -ArgumentList "javascript:alert('C2_SIM');$C2_IP" -WindowStyle Hidden
  
  # Alternatywna metoda z użyciem PowerShell, aby upewnić się, że próba połączenia zostanie wykonana
  Write-Host "Próba połączenia TCP do $C2_IP na porcie 443..."
  $tcpClient = New-Object System.Net.Sockets.TcpClient
  try {
      $tcpClient.Connect($C2_IP, 443)
  } catch {
      Write-Host "Połączenie nieudane zgodnie z oczekiwaniami (IP prawdopodobnie nieosiągalny), ale telemetria powinna zostać wygenerowana."
  } finally {
      $tcpClient.Close()
  }

• Polecenia czyszczenia:

  # Żadne trwałe artefakty nie zostały utworzone przez tę konkretną symulację
  Write-Host "Czyszczenie symulacji zakończone. Żadne pliki ani klucze rejestru nie zostały zmodyfikowane."