Auf Kambodscha fokussierter Bedrohungscluster verwendet lokalisierte Phishing-Angriffe und mehrstufige Malware

Zusammenfassung

Ein unbenanntes Bedrohungscluster zielt mit lokalen Phishing-Ködern auf Organisationen in Kambodscha ab. Der Angriff beruht auf einer komplexen mehrstufigen Infektionskette, die DLL-Sideloading, Shellcode-Extraktion aus PNG-Dateien und Prozessinjektion umfasst. Die Kampagne missbraucht auch eine Technik zum Mitbringen eines verwundbaren Treibers (BYOVD), um Sicherheitssoftware zu deaktivieren.

Untersuchung

Die Acronis Threat Research Unit identifizierte die Kampagne bei der Analyse komprimierter Archive mit Themen zu Kambodscha. Forscher verfolgten die Infektion von einem Inno Setup-Installer bis zur Bereitstellung von SparkRAT. Die Malware wurde auch bei der Durchführung von Token-Manipulation, AMSI/ETW-Patchen und beim Missbrauch des verwundbaren arsdrv.sys Treiber beobachtet, um Sicherheitsprozesse zu beenden.

Abmilderung

Organisationen sollten robuste Endpunktschutzmaßnahmen einsetzen und auf verdächtige Treiberinstallationen achten, insbesondere auf BYOVD-Aktivitäten. Das Patchen von Schwachstellen wie CVE-2026-36425 und das Einschränken von administrativen Rechten können die Auswirkungen von Token-Manipulationen reduzieren. Das Überwachen der Erzeugung unerlaubter Dienste und geplanter Aufgaben kann ebenfalls helfen, Persistenz zu identifizieren.

Reaktion

Wenn bösartige Aktivitäten erkannt werden, sollten betroffene Hosts sofort isoliert werden, um weitere seitliche Bewegungen oder C2-Kommunikation zu verhindern. Ermittler sollten das C:Drivers Verzeichnis untersuchen und Prozesse wie vssvc.exe, ctfmon.exe, und svchost.exe auf injizierten Code überprüfen. Windows-Ereignisprotokolle sollten ebenfalls auf verdächtige sc.exe Dienstkreationen und schtasks.exe Änderungen überprüft werden.

Ausführung einer Simulation

Voraussetzung: Der Telemetrie- & Basislinien-Vorflug-Check muss bestanden werden.

Begründung: Dieser Abschnitt beschreibt die genaue Ausführung der gegnerischen Technik (TTP), die zur Auslösung der Erkennungsregel entworfen wurde. Die Befehle und die Erzählung müssen die identifizierten TTPs direkt widerspiegeln und darauf abzielen, die genau erwartete Telemetrie durch die Erkennungslogik zu generieren. Abstrakte oder nicht verwandte Beispiele führen zu Fehldiagnosen.

• Angriffserzählung & Befehle: Ein Angreifer hat erfolgreich einen Fuß in einem Windows-Arbeitsplatz via einem lokalen Köder gefasst. Nachdem er Anmeldeinformationen gedumpt hat (T1055), um die Privilegien zu erhöhen, versucht die Malware nun, einen verschlüsselten Kommando- und Steuerungskanal (C2) zu etablieren. Um einer Erkennung zu entgehen, zielt die Malware auf die spezifische Infrastruktur der auf Kambodscha fokussierten Kampagne: nuihuw.top. Die Simulation wird einen PowerShell-Befehl verwenden, um eine Verbindung zu dieser Domain auf Port 443 zu initiieren, die den Rückruf der Malware nachahmt.

• Regressionstestskript:

  # Simulationsskript zur Auslösung der Erkennung von C2-Kommunikation
  # Dies ahmt einen Malware-Rückruf an die identifizierte bösartige Domain nach
  
  $C2Domain = "nuihuw.top"
  $C2Port = 443
  
  Write-Host "[+] Initiiere simulierte C2-Kommunikation zu $C2Domain auf Port $C2Port..." -ForegroundColor Cyan
  
  try {
      # Verwenden von Invoke-WebRequest, um eine HTTPS-Verbindung zur bösartigen Domain zu erzeugen
      # Hinweis: In einer realen Umgebung würde dies wahrscheinlich aufgrund eines Mangels an tatsächlichem C2 fehlschlagen,
      # aber der Verbindungsversuch/DNS-Lookup wird die erforderliche Netzwerk-Telemetrie erzeugen.
      Invoke-WebRequest -Uri "https://$C2Domain" -Method Get -TimeoutSec 5
  }
  catch {
      Write-Host "[!] Verbindung fehlgeschlagen (wie erwartet, wenn die Domain sinkgeholed ist), aber es sollte eine Telemetrie generiert werden." -ForegroundColor Yellow
  }
  
  Write-Host "[+] Simulation abgeschlossen." -ForegroundColor Green

• Bereinigungskommandos:

  # Durch diese Simulation keine dauerhaften Änderungen vorgenommen; 
  # Stellen Sie sicher, dass alle lokal erzeugten temporären Dateien oder Logs gelöscht werden.
  Write-Host "[+] Bereinige Simulationsumgebung..." -ForegroundColor Cyan