Die laufende Kompromittierung: TA4922 setzt PackClient ein

Zusammenfassung

TA4922, ein chinesischsprachiger Bedrohungsakteur, nutzt ein neues modulares C2-Framework namens PackClient. Die Malware wird auf Telegram beworben und unterstützt Datendiebstahl, Überwachung und Fernzugriff. Kürzliche Kampagnen haben Organisationen in China und Indien mit ködernden Phishing-Angriffen zu Steuerthemen ins Visier genommen.

Untersuchung

Proofpoint-Forscher haben PackClient durch die Beobachtbarkeit von Malware innerhalb der Deception Pro-Umgebung identifiziert. Die Untersuchung verfolgte mehrere Infektionsketten, darunter DLL-Sideloading und Bereitstellung über IMG-Diskimages. Die Analyse zeigte einen mehrstufigen Ausführungsablauf mit einem Downloader, einer Startkomponente und dem finalen PackClient-Core-RAT-Modul.

Minderung

Organisationen sollten auf verdächtige rundll32.exe Befehlszeilen und ungewöhnliche Persistenz durch den RunOnce Registrierungsschlüssel achten. Strenge Kontrollen sollten auf ausführbare Downloads von nicht vertrauenswürdigen Domänen angewendet werden, während die unbefugte Bereitstellung von RMM-Software genau überwacht werden sollte. Die Inspektion des Netzwerkverkehrs auf benutzerdefinierte TCP-Protokolle über nicht standardmäßige Ports wie 6666 kann ebenfalls die Erkennung verbessern.

Reaktion

Wenn PackClient-Aktivität festgestellt wird, sollte der betroffene Host sofort isoliert werden, um weitere C2-Kommunikation und Datenexfiltration zu stoppen. Reaktionskräfte sollten Speicher-Forensik durchführen, um das injizierte PackClientCore Modul zu identifizieren und nach dem zugehörigen guardian Prozess zu suchen. Registrierungs-Schlüssel unter HKCUSOFTWAREPackClientConsole und Systemprotokolle sollten ebenfalls auf unerlaubte ManageEngine RMM-Aktivitäten überprüft werden.

Simulation der Ausführung

Voraussetzung: Der Telemetrie- und Basislinien-Vorflugprüfpunkt muss bestanden haben.

Begründung: Dieser Abschnitt beschreibt die genaue Ausführung der Bedrohungstechnik (TTP), die darauf abzielt, die Erkennungsregel auszulösen. Die Befehle und Erzählung MÜSSEN die identifizierten TTPs direkt widerspiegeln und darauf abzielen, die erwartete Telemetrie zu erzeugen, die von der Erkennungslogik erwartet wird. Abstrakte oder nicht zusammenhängende Beispiele führen zu Fehldiagnosen.

• Angriffserzählung & -befehle: Der Angreifer hat erfolgreich den PackClient RAT auf einer kompromittierten Windows-Workstation bereitgestellt. Um die Befehls- und Steuerungsstruktur herzustellen, versucht die Malware, ihre fest kodierte C2-Infrastruktur zu erreichen. Das Ziel des Angreifers ist es, Anweisungen für die Datenexfiltration und weitere Laterale Bewegung zu erhalten. Wir werden dies simulieren, indem wir eine Socket-Verbindung zu einer der bösartigen IPs (206.238.196.96) auf dem spezifischen Port (6666) herstellen, der in der Erkennungsregel definiert ist, um zu überprüfen, ob das SIEM einen Alarm auslöst.

• Regressionstestskript:

  # Simulation des Versuchs einer PackClient-C2-Kommunikation
  $C2_IP = "206.238.196.96"
  $C2_PORT = 6666
  
  Write-Host "Versuch, PackClient-C2-Verbindung zu $C2_IP auf Port $C2_PORT zu simulieren..."
  
  try {
      $tcpClient = New-Object System.Net.Sockets.TcpClient
      $connection = $tcpClient.BeginConnect($C2_IP, $C2_PORT, $null, $null)
      $wait = $connection.AsyncWaitHandle.WaitOne(5000, $false)
  
      if (-not $wait) {
          Write-Host "Verbindung abgelaufen (erwartet, wenn IP nicht erreichbar ist, aber Telemetrie sollte immer noch generiert werden)." -ForegroundColor Yellow
      } else {
          Write-Host "Verbindung erfolgreich (unerwartet für Simulation)." -ForegroundColor Red
      }
      $tcpClient.Close()
  } catch {
      Write-Host "Verbindung fehlgeschlagen wie erwartet: $($_.Exception.Message)" -ForegroundColor Green
  }

• Aufräumbefehle:

  # Keine beständigen Artefakte werden durch diese netzwerkbasierte Simulation erzeugt.
  Write-Host "Simulationsbereinigung abgeschlossen. Keine Dateien oder Registrierungsschlüssel wurden geändert."