Backdoor Lindnor e Strumenti Security Killer Utilizzati in un Attacco Ransomware negli Stati Uniti

Sommario

Un attacco ransomware contro un’organizzazione statunitense ha coinvolto il ransomware Anubis e una nuova backdoor personalizzata identificata come Backdoor.Lindnor. Gli aggressori hanno impiegato diversi strumenti ‘Porta il Tuo Driver Vulnerabile’ (BYOVD) e eseguibili per disabilitare la sicurezza al fine di ottenere l’accesso a livello di kernel. L’intrusione è stata infine interrotta prima che la fase di crittografia del ransomware potesse iniziare.

Indagine

L’indagine è iniziata dopo che la backdoor Lindnor è stata rilevata su due sistemi Microsoft SQL Server. Gli analisti hanno scoperto che gli aggressori hanno mascherato il malware come componenti relativi a Chrome e VMware, mentre dispiegavano diversi strumenti progettati per terminare i servizi di sicurezza. Anche software di accesso remoto legittimo come AnyDesk, configurati per operare in modalità provvisoria, sono stati osservati.

Mitigazione

Le organizzazioni dovrebbero configurare i controlli di sicurezza per bloccare il caricamento non autorizzato dei driver e ridurre l’esposizione alle tecniche BYOVD. Sono essenziali controlli rigorosi per l’esecuzione di driver non firmati o noti come vulnerabili. I team di sicurezza dovrebbero anche monitorare strumenti di accesso remoto non autorizzati e modifiche sospette al registro associati alla persistenza o esecuzione in modalità provvisoria.

Risposta

Quando viene rilevata un’attività dannosa, isolare i sistemi SQL Server colpiti e controllare i file eseguibili e i driver installati di recente. Condurre una ricerca approfondita della backdoor Lindnor e file correlati come healthcontroller64.exe or svchelper.exe. Esaminare le chiavi del registro per modifiche relative ad AnyDesk e indagare la creazione di account utente locali non autorizzati.

Esecuzione simulazione

• Narrativa e Comandi dell’Attacco: L’avversario ha ottenuto l’accesso iniziale e intende stabilire un canale di accesso remoto persistente che sopravviva a un riavvio in modalità provvisoria. Per evitare il rilevamento dal monitoraggio standard della cartella di avvio, l’attaccante prende di mira le configurazioni del registro Safe Boot di Windows. Utilizzano reg.exe per iniettare un nuovo valore nel SafeBootNetwork chiave di registro, specificamente nominandolo “AnyDesk” e impostandolo su “Service”. Ciò garantisce che quando un tecnico o l’attaccante attiva la modalità provvisoria, AnyDesk si avvia automaticamente, fornendo una backdoor mentre la suite di sicurezza primaria è inattiva.

• Script di Test di Regressione:

  # Script di simulazione per imitare la persistenza di AnyDesk in modalità provvisoria tramite reg.exe
  # Questo comando corrisponde alle stringhe specifiche nella logica di rilevazione.
  
  $registryPath = "HKLMSYSTEMCurrentControlSetControlSafeBootNetworkAnyDesk"
  $command = "reg add `"$registryPath`" /ve /t REG_SZ /d Service /f"
  
  Write-Host "[*] Esecuzione del comando di simulazione: $command"
  Invoke-Expression $command
  
  if ($LASTEXITCODE -eq 0) {
      Write-Host "[+] Successo: La telemetria dovrebbe essere stata generata."
  } else {
      Write-Host "[-] Fallimento: Comando non riuscito. Assicurarsi che lo script venga eseguito come Amministratore."
  }

• Comandi di Pulizia:

  # Script di pulizia per rimuovere la chiave di registro simulata
  $registryPath = "HKLMSYSTEMCurrentControlSetControlSafeBootNetworkAnyDesk"
  Write-Host "[*] Pulizia: Rimozione $registryPath"
  reg delete "$registryPath" /f