Lindnor 后门及安全杀手工具用于美国勒索软件攻击

总结

一次针对美国组织的勒索软件攻击涉及Anubis勒索软件以及一个新发现的定制后门，称为Backdoor.Lindnor。攻击者部署了多个自带易受攻击的驱动程序工具（BYOVD）和能够禁用安全性的可执行文件，以获取内核级别访问权限。入侵最终在勒索软件加密阶段开始之前被中断。

调查

在Lindnor后门被检测到两台Microsoft SQL Server系统后，调查开始。分析人员发现攻击者伪装恶意软件为Chrome和VMware相关组件，同时部署了几种工具以终止安全服务。还观察到合法的远程访问软件如AnyDesk被设置为在安全模式下运行。

缓解措施

组织应配置安全控件以阻止未经授权的驱动程序加载，并减少对BYOVD技术的暴露。对未签名或已知易受攻击的驱动程序执行严格的控制是必不可少的。安全团队还应监控未授权远程访问工具和与安全模式持久性或执行相关的可疑注册表更改。

响应

当检测到恶意活动时，隔离受影响的SQL Server系统并审核最近安装的可执行文件和驱动程序。全面搜索Lindnor后门和相关文件，如 healthcontroller64.exe or svchelper.exe。审查与AnyDesk相关的注册表键修改，并调查未经授权的本地用户帐户的创建。

模拟执行

• 攻击叙述及命令： 对手已获得初始访问权限，并打算建立一个在安全模式重启时生存的持久远程访问通道。为了避开标准启动文件夹监控，攻击者瞄准了Windows安全启动注册表配置。他们利用 reg.exe 向 SafeBootNetwork 注册表键注入新值，具体命名为”AnyDesk”并将其设置为”Service”。这确保了当技术人员或攻击者触发安全模式时，AnyDesk会自动启动，在主要安全套件不活动时提供一个后门。

• 回归测试脚本：

  # 模拟脚本，用于模拟AnyDesk通过reg.exe在安全模式下的持久化
  # 此命令匹配检测逻辑中的特定字符串。
  
  $registryPath = "HKLMSYSTEMCurrentControlSetControlSafeBootNetworkAnyDesk"
  $command = "reg add `"$registryPath`" /ve /t REG_SZ /d Service /f"
  
  Write-Host "[*] 正在执行模拟命令：$command"
  Invoke-Expression $command
  
  if ($LASTEXITCODE -eq 0) {
      Write-Host "[+] 成功：应该已生成遥测数据。"
  } else {
      Write-Host "[-] 失败：命令失败。请确保脚本以管理员身份运行。"
  }

• 清理命令：

  # 清理脚本以移除模拟的注册表键
  $registryPath = "HKLMSYSTEMCurrentControlSetControlSafeBootNetworkAnyDesk"
  Write-Host "[*] 正在清理：移除 $registryPath"
  reg delete "$registryPath" /f