Der Dämon Kommt Später: Ein Havoc Stager Versteckt Sich Hinter Microsoft Defender DLP

Zusammenfassung

Bedrohungsakteure in Brasilien verbreiten gefälschte elektronische Rechnungen NF-e ZIP-Anhänge, die einen bösartigen MSI-Installer bereitstellen. Der MSI legt eine gefälschte Microsoft Defender Endpoint DLP DLL ab, die tatsächlich als Havoc-Stager fungiert. Einmal gestartet, verbindet sich der Stager mit einem Remote-Command-and-Control-Server, ruft eine Havoc-Nutzlast im Speicher ab und schafft Persistenz durch ein Anmeldeskript als Registrierungswert. Ähnliche Varianten wurden auch auf malaysisch-registrierten Domains beobachtet, die denselben Liefermechanismus verwenden.

Untersuchung

LevelBlue SpiderLabs analysierte das ZIP-Archiv, den VBS-Dropper und das MSI-Paket und entdeckte eine signierte Microsoft-Binärdatei, mpextms.exe, gepaart mit einer unsignierten endpointdlp.dll -Stager. Der Stager enthielt Klartextkonfigurationswerte, einschließlich des Command-and-Control-Hosts, URL-Pfade und eines Mutex-Strings. Netzwerkaufzeichnungen zeigten GET- und POST-Verkehr zu bestimmten IP-Adressen zusammen mit eindeutigen User-Agent-Werten. Forscher identifizierten neun verwandte Stager-Varianten, die dieselbe Versions-Metadaten und Import-Hash teilten.

Milderung

Verteidiger sollten unsignierte DLLs erkennen, die sich als Microsoft Defender Endpoint DLP oder Dragon Data Protection-Komponenten ausgeben, Änderungen an HKCUEnvironmentUserInitMprLogonScriptüberwachen und beim bekannten Mutex-Wert warnen. Die veröffentlichte YARA-Regel sollte eingesetzt werden, um den Stager zu erkennen, bevor er die Havoc-Nutzlast laden kann. Sicherheitsteams sollten auch die Authenticode-Signaturen aller in Archiven bereitgestellten Microsoft-gebundenen Binärdateien überprüfen.

Reaktion

Wird diese Aktivität erkannt, sperren Sie die zugehörigen IP-Adressen und Domains, isolieren Sie die MSI- und DLL-Dateien und entfernen Sie den bösartigen Anmeldeskript Registrierungseintrag. Führen Sie Host-Forensik durch, um zu bestätigen, dass keine in-memory Havoc-Nutzlast aktiv bleibt, und rotieren Sie die Anmeldeinformationen betroffener Benutzer. Relevante Geschäftsteams sollten informiert werden, und E-Mail-Schutzmaßnahmen sollten aktualisiert werden, um ähnliche NF-e-Themen-Anhänge zu blockieren.

Simulation Ausführung

Voraussetzung: Der Telemetrie- & Baseline-Vorab-Check muss bestanden sein.

Begründung: Dieser Abschnitt beschreibt die genaue Ausführung der gegnerischen Technik (TTP), die darauf abzielt, die Erkennungsregel auszulösen. Die Befehle und die Erzählung MÜSSEN direkt die identifizierten TTPs widerspiegeln und darauf abzielen, die genaue Telemetrie zu generieren, die von der Erkennungslogik erwartet wird.

• Angriffserzählung & Befehle:
  Ein Angreifer, der bereits einen anfänglichen Zugang zum Opfergerät gewonnen hat, möchte Persistenz über Benutzeranmeldungen hinweg aufrechterhalten. Sie wählen die UserInitMprLogonScript Wert, weil er bevor die Benutzeroberfläche des Benutzers startet, was eine frühzeitige Codeausführung ermöglicht. Der Angreifer platziert eine verdeckte Binärdatei mpextms.exe (eine umbenannte Version von rundll32.exe) im AppData-Ordner des Benutzers und fertigt eine bösartige DLL an endpointdlp.dll an, die das Ausschleusen von Anmeldeinformationen durchführt. Durch das Setzen des Registrierungseintrags auf "%APPDATA%mpextms.exe" "%APPDATA%endpointdlp.dll"stellt der Angreifer sicher, dass bei jeder Anmeldung die DLL über den signierten rundll32.exe Proxy geladen wird, um zu T1218.007 and T1027.013 während naive Binär-Whitelist-Bypassing.

• Regression Test-Skript:

  # -------------------------------------------------
  # Schritt 1: Ablegen bösartiger Binärdateien (simuliert)
  $payloadDir = "$env:APPDATAMalicious"
  New-Item -ItemType Directory -Path $payloadDir -Force | Out-Null
  
  # Simulierter 'mpextms.exe' – Verwendung von rundll32.exe umbenannt für Realismus
  $src = "$env:SystemRootSystem32rundll32.exe"
  $dstExe = Join-Path $payloadDir "mpextms.exe"
  Copy-Item -Path $src -Destination $dstExe -Force
  
  # Simulierte bösartige DLL (leere Datei zu Testzwecken)
  $dllPath = Join-Path $payloadDir "endpointdlp.dll"
  New-Item -ItemType File -Path $dllPath -Force | Out-Null
  
  # Schritt 2: Erstellung des Persistenz-Registrierungseintrags
  $regPath = 'HKCU:Environment'
  $regName = 'UserInitMprLogonScript'
  $regValue = "`"$dstExe`" `"$dllPath`""
  Set-ItemProperty -Path $regPath -Name $regName -Value $regValue -Force
  
  Write-Host "Persistenzeintrag erstellt: $regName = $regValue"
  # -------------------------------------------------

• Bereinigung Befehle:

  # Entfernen Sie den Registrierungspersistenzeintrag
  Remove-ItemProperty -Path 'HKCU:Environment' -Name 'UserInitMprLogonScript' -ErrorAction SilentlyContinue
  
  # Löschen Sie die abgelegten Dateien
  $payloadDir = "$env:APPDATAMalicious"
  Remove-Item -Path $payloadDir -Recurse -Force -ErrorAction SilentlyContinue
  
  Write-Host "Bereinigung abgeschlossen."