ChainShell: MuddyWater & Russischer MaaS

Zusammenfassung

MuddyWater, ein mit Iran verbundener Spionageakteur, nutzt die russische Plattform TAG-150 Malware-as-a-Service, um CastleRAT und einen neueren, blockchain-fähigen Node.js-C2-Agent, der als ChainShell verfolgt wird, gegen israelische und andere hochrangige Ziele zu verbreiten. Die Aktivität wird von einem exponierten, falsch konfigurierten C2-Webserver, einem PowerShell-Bereitstellungsskript (reset.ps1) und über Steganographie verborgenen PE-Nutzlasten unterstützt. Mehrere CastleRAT-Versionen (einschließlich Build 120 und Build 13) enthalten gemeinsame hartcodierte Kennungen, die auf dieselbe MaaS-Abstammung hinweisen. Die Backend-Infrastruktur scheint kampagnenspezifisch zu sein und verwendet gemeinsame Domains (zum Beispiel serialmenot.com) und für jeden Einsatz spezifische JWT-Zugangsdaten, um den Zugriff und die Verfolgung über die Bereitstellungen hinweg zu trennen.

Untersuchung

JUMPSEC überprüfte den exponierten C2-Host, stellte 15 Malware-Proben sicher und verknüpfte die Bereitstellungslogik von reset.ps1 mit der Lieferung von sowohl ChainShell als auch mehreren CastleRAT-Builds. Die Ermittler korrelierten auch Code-Signaturzertifikate (Amy Cherne und Donald Gay), die in bekannten MuddyWater-Tools gesehen wurden, mit dem TAG-150 MSI-Installer, was eine hochgradige Zuordnungsfährte bildete. Zusätzlich wurde übergreifende Ähnlichkeit bei den Proben in hartcodierten Build-Markern, wiederkehrenden geplanten Namenskonventionen von Aufgaben und in den Tools und serverseitigen Artefakten eingebetteten JWT-Kampagnen-IDs beobachtet.

Abschwächung

Überwachen Sie nach reset.ps1, zugehörigen geplanten Aufgaben und einzigartigen Mutex- oder Dateipfad-Artefakten, die mit CastleRAT und ChainShell in Verbindung stehen. Blockieren Sie bekannte TAG-150-Infrastrukturen, einschließlich serialmenot.com, ttrdomennew.com und sharecodepro.com, und untersuchen Sie PowerShell-gesteuerte Installationen von Node.js-Komponenten. Erzwingen Sie strikte Kontrollen der Code-Signatur und validieren Sie verdächtige Zertifikate gegen bekannte MuddyWater-verknüpfte Signaturmaterialien.

Reaktion

Falls Indikatoren gefunden werden, isolieren Sie betroffene Endpunkte, erfassen Sie vollständige Festplatten- und Speicherabbilder und durchsuchen Sie weitere Überreste von CastleRAT und ChainShell. Widerrufen oder misstrauen Sie kompromittierten Code-Signaturzertifikaten, setzen Sie betroffene Anmeldedaten zurück und koordinieren Sie Berichterstattung mit relevanten nationalen CERTs. Überprüfen Sie Netzwerk-Telemetrie auf Ethereum-RPC-Zugriffsmuster und JWT-Nutzung, die mit dem serialmenot.com-Kommando-und-Kontroll-Workflow verbunden sind.

Simulationsexekution

Voraussetzung: Der Telemetrie- & Basislinien-Vorab-Check muss bestanden worden sein.

• Angriffserzählung & Befehle:

  1. Phase 1 – Einen einfachen C2-Server vorbereiten (auf einem Angreifergerät oder einer kontrollierten VM ausführen). Der Server hört auf Port 9999 und gibt empfangene Daten zurück.

  2. Phase 2 – Auf dem Ziel-Windows-Host eine PowerShell-Hintertür starten die eine TCP-Verbindung zum C2-Server auf Port 9999 öffnet. Die Nutzlast nutzt native .NET-Klassen, um die Erstellung eines separaten ausführbaren Programms zu vermeiden und eine „living-off-the-land“-Vorgehensweise zu simulieren.

  3. Phase 3 – Optionaler Proxy-Hop: Das PowerShell-Skript kontaktiert zuerst einen lokalen HTTP-Proxy (der auf 127.0.0.1:8080 lauscht), der den TCP-Verkehr an den entfernten C2-Server weiterleitet und demonstriert, dass der Zielport unverändert bleibt.

  Diese Schritte erzeugen Firewall-Ereignisse mit DestinationPort = 9999und erfüllen damit die Sigma-Regel.

• Regressionstest-Skript:

  # -------------------------------------------------
  # CastleRAT‑stil C2-Simulation – PowerShell
  # -------------------------------------------------
  # 1. C2-Server-Adresse definieren (ersetzen Sie durch Ihre Test-IP)
  $c2Ip = "10.0.0.50"
  $c2Port = 9999
  
  # 2. OPTIONAL: Lokalen Proxy definieren (wenn Sie den Proxy-Hop testen möchten)
  $useProxy = $false
  $proxyHost = "127.0.0.1"
  $proxyPort = 8080
  
  # 3. Funktion zum Öffnen eines TCP-Streams (direkt oder über Proxy)
  function Invoke-C2Connection {
      param (
          [string]$destIp,
          [int]$destPort,
          [bool]$viaProxy
      )
      if ($viaProxy) {
          # Einfache HTTP-CONNECT-Tunnel
          $proxyUri = "http://$proxyHost`:$proxyPort"
          $client = New-Object System.Net.Sockets.TcpClient($proxyHost,$proxyPort)
          $stream = $client.GetStream()
          $connectRequest = "CONNECT $destIp`:$destPort HTTP/1.1`r`nHost: $destIp`r`n`r`n"
          $bytes = [System.Text.Encoding]::ASCII.GetBytes($connectRequest)
          $stream.Write($bytes,0,$bytes.Length)
          # Proxy-Antwort verwerfen
          $buffer = New-Object byte[] 1024
          $null = $stream.Read($buffer,0,$buffer.Length)
          Write-Host "[+] Proxy-Tunnel hergestellt"
          return $stream
      } else {
          $client = New-Object System.Net.Sockets.TcpClient($destIp,$destPort)
          Write-Host "[+] Direkte TCP-Verbindung hergestellt"
          return $client.GetStream()
      }
  }
  
  # 4. Verbindung öffnen
  $stream = Invoke-C2Connection -destIp $c2Ip -destPort $c2Port -viaProxy:$useProxy
  
  # 5. Einfaches Signal senden
  $beacon = "CastleRAT Beacon $(Get-Date -Format o)`n"
  $bytes = [System.Text.Encoding]::UTF8.GetBytes($beacon)
  $stream.Write($bytes,0,$bytes.Length)
  Write-Host "[+] Beacon gesendet"
  
  # 6. Kanal für kurze Zeit geöffnet halten (Persistenz simulieren)
  Start-Sleep -Seconds 15
  
  # 7. Bereinigung
  $stream.Close()
  Write-Host "[+] Verbindung geschlossen"

• Bereinigungskommandos:

  # Sicherstellen, dass alle verbleibenden TCP-Verbindungen geschlossen sind
  Get-NetTCPConnection -RemotePort 9999 -State Established | ForEach-Object {
      try {
          $proc = Get-Process -Id $_.OwningProcess -ErrorAction SilentlyContinue
          if ($proc) { Stop-Process -Id $proc.Id -Force }
      } catch {}
  }
  
  # Entfernen Sie alle temporären Proxy-Listener, falls sie lokal gestartet wurden
  Stop-Process -Name "python" -Force -ErrorAction SilentlyContinue

Zusätzliche Beobachtungen & Härtungsempfehlungen

1. Portbasierte Erkennung anreichern: Kombinieren Sie die Portprüfung mit bekannten bösartigen C2-IPs/Domains, TLS-Fingerprinting oder Abnormalitäten im Datenverkehrsaufkommensheuristik.
2. Zulässige Liste legitimer Dienste: Erstellen Sie eine Ausnahmeliste für Anwendungen, die legitimerweise Ports 9999 oder 8888 verwenden (z. B. bestimmte Datenbank- oder Management-Tools).
3. Verhaltensbaselines: Richten Sie statistische Modelle ein, um seltene ausgehende Verbindungen zu Hochrisiko-Ports von Nicht-Server-Endpunkten zu kennzeichnen.
4. Prozesskontext: Korrelation von Firewall-Ereignissen mit dem ursprünglichen Prozess (ImageFileName, Befehlzeile). Verbindungen von unerwarteten Prozessen kennzeichnen (z.B. powershell.exe, cmd.exe).

Durch die Anwendung dieser Abwehrmaßnahmen kann die Widerstandsfähigkeit der Regel von der aktuellen 2 auf eine 4-5 Reichweite erhöht werden, was die Anzahl der Fehlalarme erheblich reduziert und gleichzeitig die Erkennung von echtem CastleRAT C2-Datenverkehr bewahrt.