APT36-verknüpfte Kampagne nutzt KMS Auto in einer mehrstufigen Intrusion

Zusammenfassung

Eine mehrstufige Eindringung wurde beobachtet, die mit dem Missbrauch von KMS Auto begann, um eine Reihe bösartiger Nutzlasten zu liefern. Die Angriffskette entwickelte sich vom Kryptowährungs-Mining über XMRig bis hin zur Bereitstellung von Remote-Zugriff mittels ScreenConnect und MeshAgent, die in einer Scareware-Nutzlast endete, die sich als Ransomware ausgab. Die letzte Phase nutzte psychologische Taktiken, indem sie Tapeten änderte und gefälschte Lösegeldaufforderungen anzeigte, ohne tatsächliche Dateiverschlüsselung.

Untersuchung

K7Labs analysierte eine Abfolge von Ereignissen, bei der eine anfängliche Ausführung von KMS Auto zu einer Reihe von Aktivitäten nach der Kompromittierung führte, mit einem konsistenten 12-24 Stunden Intervall zwischen den Phasen. Die Telemetrie verfolgte die Bereitstellung von XMRig, gefolgt von legitimen, jedoch böswillig verwendeten Fernverwaltungstools, und schließlich einer Nutzlast namens SecurityHealthServices.exe. Die Analyse bestätigte, dass die endgültige Nutzlast eine Scareware war, die Verhalten von Ransomware durch visuelle Verunstaltung und Manipulation von Dateiendungen nachahmte.

Minderung

Organisationen sollten die Nutzung nicht autorisierter Softwareaktivierungswerkzeuge einschränken und die Ausführung bekannter Dual-Use-Tools wie XMRig oder nicht autorisierter RMM-Software überwachen. Die Implementierung von striktem Anwendungs-Whitelisting und die Überwachung auf ungewöhnliche Dateiendungen oder massenhafte Umbenennung von Dateien können helfen, die Auswirkungen abzumildern. Benutzer sollten darüber aufgeklärt werden, inoffizielle Software-Repositories und Torrent-Seiten für Dienstprogramm-Downloads zu vermeiden.

Reaktion

Bei Erkennung sollte der betroffene Endpunkt isoliert werden, um weitere Infektionsstufen der mehrstufigen Infektion zu verhindern. Führen Sie einen vollständigen forensischen Scan nach versteckten Dateien in AppData und mehreren Persistenzmechanismen in Startordnern und Registry-Run-Schlüsseln durch. Untersuchen Sie das Vorhandensein von nicht autorisierten Fernverwaltungstools wie ScreenConnect oder MeshAgent, um den Umfang des Angreiferzugangs zu identifizieren.

Simulation der Ausführung

• Erzählschema & Befehle: Ein Gegner hat sich initialen Zugriff verschafft und beabsichtigt, einen Kryptowährungs-Miner und Remote-Zugriffstools zu implementieren, um eine langfristige Präsenz zu bewahren und den Einbruch zu monetarisieren. Der Angreifer führt zunächst ein Tool namens kmsauto_setup.exe aus einem temporären Verzeichnis aus. Anschließend versuchen sie, xmrig.exe zu starten, um mit dem Ressourcendiebstahl zu beginnen. Zur Erleichterung der Fernsteuerung hinterlegen und starten sie meshagent.exe. Diese Abfolge erzeugt die spezifischen Zeichenmuster, die die Erkennungsregel erfassen soll.

• Regressionstest-Skript:

  # Simulation der mehrstufigen Ausführung im APT36-Stil zur Regelvalidierung
  $tempDir = "$env:TEMPSimulatedAttack"
  New-Item -ItemType Directory -Path $tempDir -Force | Out-Null
  
  # 1. Simuliere KMS Auto-Ausführung (Triggern von 'kmsauto' im Bildpfad)
  $kmsPath = Join-Path $tempDir "kmsauto_installer.exe"
  New-Item -Path $kmsPath -ItemType File -Force | Out-Null
  Write-Host "[+] Simuliere KMS Auto-Ausführung..."
  Start-Process $kmsPath -ArgumentList "/silent" -ErrorAction SilentlyContinue
  
  # 2. Simuliere XMRig-Ausführung (Triggern von 'xmrig' in der Kommandozeile)
  $xmrigPath = Join-Path $tempDir "xmrig.exe"
  New-Item -Path $xmrigPath -ItemType File -Force | Out-Null
  Write-Host "[+] Simuliere XMRig-Ausführung..."
  Start-Process $xmrigPath -ArgumentList "--donate-level=1 --cpu-max-threads-pct=50" -ErrorAction SilentlyContinue
  
  # 3. Simuliere MeshAgent-Ausführung (Triggern von 'meshagent' in der Kommandozeile)
  $meshPath = Join-Path $tempDir "meshagent.exe"
  New-Item -Path $meshPath -ItemType File -Force | Out-Null
  Write-Host "[+] Simuliere MeshAgent-Ausführung..."
  Start-Process $meshPath -ArgumentList "--install" -ErrorAction SilentlyContinue
  
  Write-Host "[!] Simulation abgeschlossen. Überprüfen Sie die SIEM auf Alarme."

• Bereinigungskommandos:

  # Bereinigung von Simulationsartefakten
  $tempDir = "$env:TEMPSimulatedAttack"
  if (Test-Path $tempDir) {
      Remove-Item -Path $tempDir -Recurse -Force
      Write-Host "[+] Bereinigung erfolgreich: $tempDir entfernt."
  } else {
      Write-Host "[!] Bereinigung fehlgeschlagen: Verzeichnis nicht gefunden."
  }