Blinder Adler: GitHub Loader enthüllt einen hartnäckigen Operator

Zusammenfassung

Eine Untersuchung eines GitHub-basierten Malware-Loaders enthüllte eine ausgeklügelte Produktionspipeline, die von einem Bedrohungsakteur betrieben wird, der wahrscheinlich mit Blind Eagle in Verbindung steht. Der Betreiber missbraucht legitime Dienste wie GitHub, Bitbucket und AWS S3, um bösartige Nutzdaten und Bereitstellungsinhalte zu hosten. Die Kampagne umfasst mehrere RAT-Familien, Phishing-Vorlagen, die auf kolumbianische Institutionen abzielen, und kommerzielle Crypter, um die Umgehung zu verbessern.

Untersuchung

Die Untersuchung begann mit der Umstellung von einer E-Mail-Adresse, die in GitHub-Commit-Metadaten gefunden wurde, auf einen geleakten Stealer-Log. Dies enthüllte eine kompromittierte Workstation namens Ghost mit mehreren RAT-Build-Verzeichnissen, Phishing-Vorlagen und Massen-E-Mail-Tools. Die Analyse des Systems offenbarte den End-to-End-Workflow des Akteurs, der von der Entwicklung von Ködern über die Vorbereitung von Malware bis hin zum Infrastrukturmanagement reicht.

Minderung

Verteidiger sollten E-Mail-Filter so konfigurieren, dass passwortgeschützte Archive erkannt werden, wenn das Passwort direkt im Nachrichtenkörper angegeben wird. Sicherheitsteams sollten verdächtige Prozessbeziehungen überwachen, insbesondere wscript.exe or cscript.exe die versteckte PowerShell-Sitzungen starten. Warnungen sollten auch ungewöhnliche InstallUtil.exe Ausführungen erkennen und ausgehende Zugriffe auf Rohinhaltsdienste wie raw.githubusercontent.com.

Reaktion

Wird bösartige Aktivität erkannt, sollte der betroffene Endpunkt sofort isoliert werden, um weitere seitliche Bewegungen oder Datenexfiltration zu verhindern. Responder sollten nach bekannten C2-Domains und bösartigen Dateihashes suchen. Auch sollten E-Mail-Gateway-Logs auf ähnliche, gerichtlich oder steuerlich thematisierte Phishing-Köder überprüft werden, und Benutzer, die mit verdächtigen Links interagiert haben, sollten ihre Zugangsdaten zurücksetzen.

Simulation Ausführung

Voraussetzung: Der Telemetrie- & Baseline-Preflight-Check muss bestanden sein.

Begründung: Dieser Abschnitt beschreibt die genaue Ausführung der Angreifertechnik (TTP), die darauf abzielt, die Erkennungsregel auszulösen. Die Befehle und die Erzählung MÜSSEN direkt die identifizierten TTPs widerspiegeln und darauf abzielen, die genaue Telemetrie zu erzeugen, die von der Erkennungslogik erwartet wird. Abstrakte oder nicht verwandte Beispiele führen zu Fehldiagnosen.

• Angriffsnarrativ & Befehle: Ein Angreifer hat über einen Spear-Phishing-Anhang initialen Zugriff erlangt. Um Persistenz herzustellen und sich auf die Prozessinjektion vorzubereiten, verwendet der Angreifer ein PowerShell-Skript, um eine bösartige Nutzlast in das %ProgramData% Verzeichnis abzulegen, um die Überwachung durch Standardbenutzerprofile zu umgehen. Nach dem Ablegen der Datei führt der Angreifer InstallUtil.exe (ein legitimes .NET-Dienstprogramm) aus, um eine bösartige DLL auszuführen, wobei versucht wird, Anwendungs-Whitelisting zu umgehen, indem ein vertrauenswürdiges Microsoft-Binärprogramm verwendet wird.

• Regressionstest-Skript:

  # Simulationsskript: InstallUtil und ProgramData-Dateischreiben auslösen
  
  $ErrorActionPreference = "Stop"
  $TargetFile = "$env:ProgramDatamalicious_payload.ps1"
  $InstallUtilPath = "$env:SystemRootMicrosoft.NETFramework64v4.0.30319InstallUtil.exe"
  
  Write-Host "[*] Starte Erkennungsvalidierungssimulation..." -ForegroundColor Cyan
  
  # Schritt 1: Simuliere Skript-Schreiben zu %ProgramData% via PowerShell (Löst selection_scriptwriting aus)
  Write-Host "[*] Schritt 1: Ablegen der Nutzlast in $TargetFile" -ForegroundColor Yellow
  "Write-Host 'Malicious Payload Executed'" | Out-File -FilePath $TargetFile -Encoding ascii
  
  # Schritt 2: Simuliere Ausführung von InstallUtil.exe (Löst selection_installutil aus)
  # Wir verwenden ein Dummy-Argument, um rechtmäßig aussehende Nutzung zu simulieren
  Write-Host "[*] Schritt 2: Ausführen von InstallUtil.exe" -ForegroundColor Yellow
  Start-Process -FilePath $InstallUtilPath -ArgumentList "/U" -Wait
  
  Write-Host "[+] Simulation abgeschlossen. Überprüfen Sie das SIEM auf Warnungen." -ForegroundColor Green

• Bereinigungskommandos:

  # Bereinigungsskript
  $TargetFile = "$env:ProgramDatamalicious_payload.ps1"
  if (Test-Path $TargetFile) {
      Remove-Item $TargetFile -Force
      Write-Host "[+] Bereinigung abgeschlossen $TargetFile" -ForegroundColor Green
  } else {
      Write-Host "[-] Zieldatei nicht gefunden, nichts zu bereinigen." -ForegroundColor Red
  }