DarkBlinders-Kampagne zielt mit fortschrittlichen Spionagetaktiken auf Opfer ab

Zusammenfassung

DarkBlinders ist eine aktive Cyber-Spionage-Kampagne, die sich gegen Regierungs- und diplomatische Organisationen in Israel und der kurdischen Region im Irak richtet. Der Bedrohungsakteur nutzt ausgeklügelte Phishing-Köder, darunter gefälschte Videoanwendungen und Repliken von Cloud-Dienstanbietern, um maßgeschneiderte Malware zu deployen. Die Operation nutzt auch GitHub-Repositories für Command-and-Control (C2) und verwendet eine selektive Aktivierung für ihren Second-Stage-Backdoor.

Untersuchung

Dream Research Labs führte eine detaillierte Analyse der DarkBlinders-Kampagne durch und entdeckte eine mehrstufige Infektionskette, die eine Tarnanwendung namens StarkMeet beinhaltete. Forscher führten eine Reverse-Engineering der Malware durch und erhielten einen Lesezugriff auf die C2-Infrastruktur des Bedrohungsakteurs auf GitHub. Diese Sichtbarkeit ermöglichte es ihnen, die Anweisungen für die Opfer zu identifizieren und die Exfiltration von mehr als 1 GB Daten aus einer Regierung-Cloud-Umgebung zu beobachten.

Minderung

Organisationen sollten strenge Kontrollen bei der Installation nicht verifizierter Software durchsetzen und ungewöhnliche ausgehende Verbindungen zu gemeinsam genutzten Diensten wie GitHub von Nicht-Entwickler-Systemen überwachen. Eine verstärkte Überprüfung von Cloud-Drive-Freigabelinks und verdächtigen E-Mail-Anhängen wird ebenfalls empfohlen. Die Überwachung nicht autorisierter PowerShell-Ausführungen durch AppDomainManager oder im Speicher geladen kann zusätzlich helfen, mit dieser Ladetechnik verbundene Aktivitäten zu identifizieren.

Reaktion

Wenn DarkBlinders-Aktivität erkannt wird, sollten betroffene Hosts isoliert werden, um eine weitere Datenexfiltration zu verhindern und den Speicher für die forensische Untersuchung von im Speicher befindlichen Payloads zu sichern. Überprüfen Sie GitHub-Personenzugangstoken und Repositories-Zugriffsprotokolle, falls verdächtige Aktivitäten die Entwicklungsumgebung der Organisation betreffen. Setzen Sie Anmeldeinformationen für alle Konten zurück, die durch die identifizierte Phishing-Infrastruktur kompromittiert sein könnten.

Simulationsdurchführung

• Angriffsnarrativ & Befehle: Der Angreifer beabsichtigt, mit dem DarkBlinders-Toolkit Persistenz und Fernzugriff zu etablieren. Nach dem Erhalt des ersten Zugriffs setzt der Angreifer eine Tarnanwendung namens StarkMeet.exeein. Um einer Erkennung zu entgehen, führt die Malware des Angreifers einen Shell-Befehl aus, um weitere Payloads herunterzuladen. In dieser Simulation werden wir manuell eine Dummy StarkMeet.exe erstellen und auslösen, damit sie cmd.exeausführt, was der Logik der Regel entspricht: (StarkMeet.exe) UND (cmd).

• Regressionstest-Skript:

  # Simulationsskript: DarkBlinders-Komponenten-Trigger
  # 1. Erstellen Sie eine Dummy-Datei, die die DarkBlinders-Komponente darstellt
  $dummyPath = "$env:TEMPStarkMeet.exe"
  New-Item -Path $dummyPath -ItemType File -Force
  
  # 2. Verwenden Sie ein kleines Payload, um den "ausführbaren" Befehl tatsächlich auszuführen 
  # Für Simulationszwecke verwenden wir einen PowerShell-Wrapper, um den 'bösartigen' Prozess zu starten
  # der das Verhalten der Komponente nachahmt, wenn cmd.exe aufgerufen wird.
  
  Write-Host "[+] Simulation der DarkBlinders-Komponentenausführung..."
  
  # Wir verwenden Start-Process, um den StarkMeet.exe Prozess zu simulieren, der cmd.exe startet
  # Hinweis: In einem realen Szenario würde das Binärdatei den Start selbst ausführen.
  # Um die spezifische 'Image' Logik der Sigma-Regel auszulösen, müssen wir einen Prozess umbenennen oder 
  # die Ausführung dieses spezifischen Dateinamens simulieren.
  
  # Da wir hier nicht einfach ein echtes Binär kompilieren können, simulieren wir die Prozess-Erstellung
  # Ereignis, das Sysmon sehen würde, wenn StarkMeet.exe cmd.exe ausführt.
  
  Start-Process -FilePath "$env:TEMPStarkMeet.exe" -ArgumentList "cmd.exe /c echo 'Detection Triggered'" -ErrorAction SilentlyContinue
  
  # Da wir tatsächlich keine nicht-binäre Datei 'laufen' können, verwenden wir diesen Befehl, um 
  # das genaue Telemetriemuster durch eine simulierte Prozess-Erstellung zu erstellen, wenn möglich, 
  # oder einfach anerkennen, dass die Datei vorhanden sein muss, damit die Regel ausgelöst wird.
  
  # REALISTISCHE VORGEHENSWEISE FÜR DEN TEST:
  # Wir werden ein kleines ausführbares Programm erstellen oder einen bekannten Weg verwenden, um einen Prozess zu benennen.
  # Für dieses Skript nehmen wir an, dass die Umgebung es uns erlaubt, ein System-Tool in StarkMeet.exe umzubenennen
  Copy-Item "C:WindowsSystem32cmd.exe" -Destination "$env:TEMPStarkMeet.exe"
  Start-Process -FilePath "$env:TEMPStarkMeet.exe" -ArgumentList "/c echo DetectionTriggered"
  
  Write-Host "[+] Simulationsbefehl gesendet. Überprüfen Sie SIEM für StarkMeet.exe + cmd/powershell."

• Säuberungsbefehle:

  # Entfernen Sie Simulationsartefakte
  Remove-Item -Path "$env:TEMPStarkMeet.exe" -Force -ErrorAction SilentlyContinue
  Write-Host "[+] Säuberung abgeschlossen."