Lindnor-Backdoor und Security-Killer-Tools bei einem US-Erpresserangriff verwendet

Zusammenfassung

Ein Ransomware-Angriff auf eine US-Organisation umfasste Anubis Ransomware und einen neu identifizierten, benutzerdefinierten Backdoor namens Backdoor.Lindnor. Die Angreifer setzten mehrere Bring Your Own Vulnerable Driver (BYOVD) Werkzeuge und sicherheitsdeaktivierende ausführbare Dateien ein, um Zugriff auf Kernel-Ebene zu erhalten. Der Einbruch wurde letztendlich unterbrochen, bevor die Ransomware-Verschlüsselungsphase beginnen konnte.

Untersuchung

Die Untersuchung begann, nachdem die Lindnor-Backdoor auf zwei Microsoft SQL Server-Systemen entdeckt wurde. Analysten fanden heraus, dass die Angreifer die Malware als Chrome- und VMware-bezogene Komponenten tarnten, während mehrere Werkzeuge eingesetzt wurden, die darauf ausgelegt waren, Sicherheitsdienste zu beenden. Auch legitimierte Fernzugriffssoftware wie AnyDesk, die für den Betrieb im abgesicherten Modus konfiguriert war, wurde beobachtet.

Minderung

Organisationen sollten Sicherheitskontrollen konfigurieren, um zu blockieren, dass nicht autorisierte Treiber geladen werden, und die Exposition gegenüber BYOVD-Techniken reduzieren. Strikte Ausführungskontrollen für nicht signierte oder bekannte anfällige Treiber sind essenziell. Sicherheitsteams sollten auch auf nicht autorisierte Fernzugriffswerkzeuge und verdächtige Registrierungsänderungen überwachen, die mit der Persistenz oder der Ausführung im abgesicherten Modus in Verbindung stehen.

Antwort

Wenn bösartige Aktivitäten erkannt werden, isolieren Sie die betroffenen SQL-Server-Systeme und überprüfen Sie kürzlich installierte ausführbare Dateien und Treiber. Führen Sie eine umfassende Jagd nach der Lindnor-Backdoor und verwandten Dateien, wie healthcontroller64.exe or svchelper.exe. Überprüfen Sie Registrierungsschlüssel auf AnyDesk-bezogene Modifikationen und untersuchen Sie die Erstellung nicht autorisierter lokaler Benutzerkonten.

Ausführung der Simulation

• Angriffsnarrativ & Kommandos: Der Angreifer hat ersten Zugang erlangt und beabsichtigt, einen persistenten Fernzugriffskanal zu etablieren, der einen Neustart im abgesicherten Modus übersteht. Um die Erkennung durch die Überwachung von Standard-Startordnern zu vermeiden, zielt der Angreifer auf die Registrierungs-Konfigurationen des Windows Safe Boot. Sie nutzen reg.exe um einen neuen Wert in den SafeBootNetwork Registrierungsschlüssel zu injizieren, indem er spezifisch „AnyDesk“ nennt und als „Dienst“ festlegt. Dies stellt sicher, dass, wenn ein Techniker oder der Angreifer den abgesicherten Modus auslöst, AnyDesk automatisch gestartet wird und eine Hintertür bietet, während die primäre Sicherheitssuite inaktiv ist.

• Regression Test Script:

  # Simulationsskript, um die Persistenz von AnyDesk im abgesicherten Modus über reg.exe nachzuahmen
  # Dieser Befehl entspricht den spezifischen Zeichenfolgen in der Erkennungslogik.
  
  $registryPath = "HKLMSYSTEMCurrentControlSetControlSafeBootNetworkAnyDesk"
  $command = "reg add `"$registryPath`" /ve /t REG_SZ /d Service /f"
  
  Write-Host "[*] Simulationsbefehl ausführen: $command"
  Invoke-Expression $command
  
  if ($LASTEXITCODE -eq 0) {
      Write-Host "[+] Erfolg: Telemetrie sollte generiert worden sein."
  } else {
      Write-Host "[-] Fehler: Befehl fehlgeschlagen. Stellen Sie sicher, dass das Skript als Administrator ausgeführt wird."
  }

• Aufräumbefehle:

  # Aufräumskript, um den simulierten Registrierungsschlüssel zu entfernen
  $registryPath = "HKLMSYSTEMCurrentControlSetControlSafeBootNetworkAnyDesk"
  Write-Host "[*] Aufräumen: Entfernen $registryPath"
  reg delete "$registryPath" /f