ClickFix entfernt Ihren Hintergrund, aber lässt die Malware zurück

Zusammenfassung

Eine bösartige Website, die sich als kostenloser Dienst zur Entfernung von Hintergründen ausgibt, liefert ein mehrstufiges Malware-Framework namens CastleLoader. Nach der Ausführung installiert der Loader NetSupport RAT zusammen mit einem benutzerdefinierten .NET-Stealer, der darauf ausgelegt ist, Browser-Anmeldedaten, Kryptowährungs-Wallet-Daten und Telegram-Sitzungsinformationen zu extrahieren. Die Malware kommuniziert über verschlüsselte Kanäle mit ihrer Kommando- und Kontroll-Infrastruktur, die auf benutzerdefinierten Protokollen und ChaCha20-Verschlüsselung basieren. Die Kampagne verwendet außerdem mehrere Ausweichtechniken, einschließlich Process Hollowing, APC-Injektion und die Ausnutzung von ReplaceTextW, um die Erkennung zu reduzieren und die Ausführung aufrechtzuerhalten.

Untersuchung

Forscher verfolgten den Angriff zu einer initialen Nutzlast zurück, die durch eine gefälschte „Ich bin kein Roboter“-Aufforderung in die Zwischenablage des Opfers kopiert wurde, gefolgt von der Nutzung von finger.exe , um einen Befehl von einem Remote-Server abzurufen. Eine tiefere Analyse deckte eine Python-basierte Bring-Your-Own-Interpreter-Kette auf, die zusätzliche Malware-Komponenten herunterlud, einen benutzerdefinierten Shellcode-Loader, der mit RC4 geschützt war, und einen reflektierende PE-Loader, der NtAllocateVirtualMemory direkt aufrief. Ermittler stellten fest, dass CastleLoader verschlüsselte Aufgaben von seinem Kommando- und Kontroll-Server abrief, sie im Speicher entschlüsselte und Folge-Nutzlasten durch mehrere unterschiedliche Ausführungsmethoden startete.

Abmilderung

Verteidiger sollten die Ausführung unnötiger Windows-Dienstprogramme wie finger.exe and regsvr32.exeblockieren, AppLocker oder vergleichbare Anwendungssteuerungsrichtlinien durchsetzen und den ausgehenden Datenverkehr zu nicht vertrauenswürdigen Domains und ungewöhnlichen Ports einschränken. Organisationen sollten auch in Erwägung ziehen, den Zugriff auf den Ausführen-Dialog dort zu begrenzen, wo dies betrieblich möglich ist, und die verdächtige Nutzung von ReplaceTextW und ungewöhnlichen COM-Objekt-Aktivitäten zu überwachen. Eine Härtung des Browsers kann helfen, die Exposition gegenüber DPAPI-basierter Anmeldeinformationen-Diebstahl zu verringern, während die Aktualisierung von Kryptowährungs-Wallet-Erweiterungen das Risiko eines Wallet-Kompromisses senken kann.

Reaktion

Sicherheitsteams sollten nach CastleLoader suchen, indem sie den charakteristischen Zwischenablage-Befehl erkennen, den Datenverkehr zu den identifizierten Kommando- und Kontroll-Domains beobachten und nach den benutzerdefinierten User-Agent-Strings der Malware suchen. Ermittler sollten auch alle geplanten Aufgaben überprüfen, die unter %ProgramData% erstellt wurden, und nach dem zugehörigen Mutex-Wert suchen. Wenn eine Infektion bestätigt ist, isolieren Sie den betroffenen Host, beenden Sie alle aktiven NetSupport RAT-Prozesse und entfernen Sie bösartige Dateien, die in %ProgramData% and %LocalAppData%.

Simulationsausführung

Voraussetzung: Der Telemetrie- und Baseline-Vorabflugcheck muss bestanden sein.

Begründung: Dieser Abschnitt beschreibt die genaue Ausführung der gegnerischen Technik (TTP), die zur Auslösung der Erkennungsregel entwickelt wurde. Die Befehle und Erzählungen müssen direkt die identifizierten TTPs reflektieren und darauf abzielen, die genaue Telemetrie zu generieren, die von der Erkennungslogik erwartet wird.

• Angriffserzählung & Befehle:
  Ein Gegner, der bereits ein niedrig privilegiertes Konto kompromittiert hat, möchte eine signierte Windows-Binärdatei (finger.exe) verwenden, um die Ausführung einer benutzerdefinierten Verschlüsselungslast zu verbergen. Sie rufen die Binärdatei mit einem ausgeklügelten Argument auf, das den String „RC4“ (oder „AES-CBC“) zur Angabe des gewählten Ciphers enthält. Da die Binärdatei signiert ist, ist es unwahrscheinlicher, dass Windows AppLocker oder andere Whitelist-Lösungen diese blockieren, und das Befehlszeilen-Stichwort erfüllt die Bedingungen der Sigma-Regel Verschlüsselung Bedingung.

• Regressionstestskript:

  # ------------------------------------------------------------
  # Simulierte bösartige Nutzung von finger.exe mit RC4-Verschlüsselung
  # ------------------------------------------------------------
  # Stellen Sie sicher, dass sich finger.exe im PATH befindet oder geben Sie den vollständigen Pfad an.
  $fingerPath = "$env:SystemRootSystem32finger.exe"
  
  if (-not (Test-Path $fingerPath)) {
      Write-Error "finger.exe nicht unter $fingerPath gefunden"
      exit 1
  }
  
  # Erstellen Sie eine Befehlszeile, die das Stichwort RC4 enthält
  $maliciousCmd = "$fingerPath -p RC4 -target 10.0.0.5"
  
  Write-Host "Ausführung des bösartigen Befehls: $maliciousCmd"
  Invoke-Expression $maliciousCmd
  
  # Optional: Schlafen, um die SIEM-Erfassung zu ermöglichen
  Start-Sleep -Seconds 5

• Säuberungskommandos:

  # Beenden Sie alle verbleibenden finger.exe-Prozesse
  Get-Process -Name finger -ErrorAction SilentlyContinue | Stop-Process -Force
  
  Write-Host "Säuberung abgeschlossen."