ClearFake-Kampagnen verwenden WordlistLoader zur Bereitstellung von Amatera

Zusammenfassung

Ein neu identifizierter Loader namens WordlistLoader wird in ClearFake-Kampagnen genutzt, um den Amatera-Infostealer zu verbreiten. Der Loader rekonstruiert Shellcode aus codierten englischen Wörtern oder UUIDs, was ihm hilft, herkömmliche Erkennungen zu umgehen. Amatera hat sich ebenfalls mit fortschrittlichen Umgehungstechniken weiterentwickelt, einschließlich Heaven’s Gate für Syscalls und gehijackte Threadpools für Browser-Injektionen.

Untersuchung

Die Untersuchung analysierte die Infektionskette, beginnend mit kompromittierten Websites, die gefälschte CAPTCHA-Aufforderungen anzeigen. Forscher analysierten den Ausführungsprozess von WordlistLoader, einschließlich des Entfernens von Modulen, des ETW-Umgehens durch Hardware-Breakpoints und der Shellcode-Entschlüsselung aus Wortlisten. Die Forschung umfasste auch Amatera-Version 4.3.3-alpha1 und beleuchtete dessen aktualisierte Application-Bound Encryption-Umgehung und verbesserte Systemaufruf-Implementierung.

Minderung

Organisationen sollten Schutzmaßnahmen gegen das Auslesen der Zwischenablage ergreifen, um das Risiko bösartiger Befehle durch Social Engineering zu verringern. EDR-Lösungen sollten in der Lage sein, Manipulationen von Hardware-Breakpoints und Versuche zur Umgehung von ETW zu erkennen. Sicherheitsteams sollten auch ungewöhnliches Prozessverhalten überwachen, einschließlich conhost versteckte cmd Prozesse, die pushd verwenden, um Remote-WebDAV-Shares zuzuordnen.

Reaktion

Sollten die beschriebenen Befehlsmuster erkannt werden, sollte der betroffene Host sofort isoliert werden, um weitere Datenexfiltrationen zu verhindern. Antwortende sollten Speicherforensik durchführen, um injizierten Shellcode oder gehijackte Browser-Threads zu identifizieren. Unbefugte WebDAV-Verbindungen sollten ebenfalls untersucht werden, zusammen mit Endpunkt-Protokollen, die die Quelle des bösartigen Befehls aufdecken können.

Simulationausführung

Voraussetzung: Der Telemetrie- und Basislinien-Vorflugtest muss bestanden sein.

Begründung: Dieser Abschnitt beschreibt die genaue Durchführung der gegnerischen Technik (TTP), die darauf abzielt, die Erkennungsregel auszulösen. Die Befehle und Erzählung MÜSSEN die identifizierten TTPs direkt widerspiegeln und darauf abzielen, genau die Telemetrie zu erzeugen, die von der Erkennungslogik erwartet wird. Abstrakte oder nicht verwandte Beispiele führen zu Fehldiagnosen.

• Angriffserzählung & Befehle: Der Angreifer versucht, den Amatera-Infostealer zu liefern, während er den Fußabdruck auf dem Host minimiert. Sie initiieren eine versteckte Befehlszeile über conhost.exe --headless. Sobald die Shell hergestellt ist, verwendet der Angreifer den pushd Befehl, um ein Remote-WebDAV-Share zu mounten (simuliert über einen lokalen UNC-Pfad zu Testzwecken), um das Rauschen von net usezu vermeiden. Schließlich führen sie die bösartige Komponente aus, indem sie rundll32.exe gegen eine DLL auf dem neu zugeordneten Laufwerk ausführen, wobei spezifisch der Run Export aufgerufen wird, um die Infektionskette zu beginnen.

• Regressionstest-Skript:

  # Simulationsskript für das Amatera/WordlistLoader-Muster
  # Hinweis: Wir verwenden einen lokalen Ordner, um einen UNC-Pfad zu simulieren und reale Netzwerkabhängigkeiten im Labor zu vermeiden.
  
  $fakeWebDavPath = "$env:COMPUTERNAMEC$TempMaliciousShare"
  if (!(Test-Path $fakeWebDavPath)) { New-Item -Path $fakeWebDavPath -ItemType Directory -Force }
  
  # Erstellen Sie eine Dummy-DLL, um die rundll32-Anforderung zu erfüllen
  # In einem realen Szenario wäre dies die tatsächliche Amatera-Nutzlast.
  $dummyDll = "$fakeWebDavPathpayload.dll"
  New-Item -Path $dummyDll -ItemType File -Force
  
  # Der Auslöse-Befehl: 
  # Dieser Befehl ist strukturiert, um den Auswahlkriterien der Sigma-Regel zu entsprechen:
  # 1. Verwendet conhost.exe mit --headless
  # 2. Enthält cmd, pushd, rundll32, ,Run, und 
  
  $cmdPayload = "cmd.exe /c pushd $fakeWebDavPath && rundll32.exe $fakeWebDavPathpayload.dll,Run"
  
  # Starten Sie den Prozess über conhost, um die spezifische Erkennungslogik auszulösen
  Start-Process "conhost.exe" -ArgumentList "--headless", $cmdPayload

• Bereinigungskommandos:

  # Entfernen Sie das simulierte bösartige Verzeichnis und die Dummy-Dateien
  $fakeWebDavPath = "$env:COMPUTERNAMEC$TempMaliciousShare"
  if (Test-Path $fakeWebDavPath) {
      Remove-Item -Path $fakeWebDavPath -Recurse -Force
  }