Der nicht so stille Miner: Endpoint-basierte Cryptominer-Kompilation

Zusammenfassung

Ein Bedrohungsakteur nutzte eine Schwachstelle in Samsung MagicINFO aus, um sich zunächst Zugang zu einem verwalteten Endpunkt zu verschaffen. Anstatt ein vorgefertigtes Binärprogramm bereitzustellen, kompilierte der Angreifer einen benutzerdefinierten Monero-Kryptominer direkt auf dem kompromittierten Host mithilfe mehrerer C-Compiler und .NET-Dienstprogramme. Dieser Ansatz ermöglichte eine umgebungsspezifische Optimierung, erzeugte jedoch auch hochsichtbare EDR-Telemetrie aufgrund des plötzlichen Anstiegs der Kompilierungsaktivität.

Untersuchung

Huntress-Forscher identifizierten den Einbruch durch ungewöhnliche EDR-Telemetrie, die mit einer Samsung MagicINFO-Installation in Verbindung steht. Die Untersuchung verfolgte die Aktivität bis zu einem Apache Tomcat-Dienst (tomcat9.exe), der Befehle ausführte, um AnyDesk herunterzuladen über certutil und PowerShell. Analysten beobachteten auch, dass der Angreifer ein lokales Administratorkonto erstellte, Windows Defender deaktivierte und mehrere Compiler ausführte, um den Kryptominer zu bauen.

Abschwächung

Organisationen sollten alle internetzugänglichen Samsung MagicINFO-Implementierungen umgehend aktualisieren, um bekannte Schwachstellen zu beheben. Verteidiger sollten auf wiederholte Versuche, Remote-Access-Tools (RMM) herunterzuladen und unerwartete Compiler-Ausführungen auf Endpunkten überwachen. Die öffentliche Internetzugänglichkeit von Managementsoftware für digitale Beschilderungen zu begrenzen, kann die Angriffsfläche weiter reduzieren.

Reaktion

Wenn verdächtige Compiler-Aktivität oder unautorisierte RMM-Downloads entdeckt werden, isolieren Sie den betroffenen Endpunkt sofort, um die Ausführung weiterer Payloads zu verhindern. Führen Sie eine vollständige forensische Untersuchung durch, um den ersten Zugangsweg zu ermitteln, einschließlich verwundbarer Webdienste. Überprüfen Sie lokale Benutzerkonten auf unautorisierte Ergänzungen und verifizieren Sie die Integrität von Sicherheitskontrollen wie Microsoft Defender.

Simulation Execution

• Angriffserzählung & Befehle: Der Gegner hat sich ersten Zugang verschafft und versucht, langfristige Persistenz sicherzustellen und Entdeckung zu verhindern. Der Angreifer erstellt zuerst einen lokalen Benutzer namens oldadministrator und fügt ihn der lokalen Administratorengruppe hinzu. Um zu verhindern, dass Windows Defender ihre nachfolgenden Werkzeug-Downloads markiert, ruft der Angreifer SystemSettingsAdminFlows.exe mit dem disable Argument auf. Diese spezifische Sequenz ist darauf ausgelegt, ein bekanntes Muster zu imitieren, das von bestimmten Kryptomining-Malware-Familien verwendet wird, um die Verteidigung des Hosts zu schwächen.

• Regression Test Script:

  # Simulationsskript: Erkennung von 'oldadministrator' und Defender-Deaktivierung auslösen
  # Hinweis: Dieses Skript muss mit Administratorrechten ausgeführt werden
  
  Write-Host "[+] Starte Simulation..." -ForegroundColor Cyan
  
  # 1. Erstellen des spezifischen Benutzernamens, der von der Erkennungsregel benötigt wird
  Write-Host "[+] Erstelle Konto: oldadministrator" -ForegroundColor Yellow
  net user oldadministrator Password123! /add
  net localgroup administrators oldadministrator /add
  
  # 2. Simulation der Deaktivierung von Defender über SystemSettingsAdminFlows.exe
  # Wir verwenden das spezifische Befehlszeilenmuster, nach dem die Regel sucht
  Write-Host "[+] Führe SystemSettingsAdminFlows.exe mit 'disable'-Argument aus" -ForegroundColor Yellow
  Start-Process "C:WindowsSystem32SystemSettingsAdminFlows.exe" -ArgumentList "disable" -ErrorAction SilentlyContinue
  
  Write-Host "[+] Simulation abgeschlossen. Überprüfen Sie SIEM auf Alarme." -ForegroundColor Green

• Bereinigungsbefehle:

  # Bereinigungsskript: Entfernen simulierter Artefakte
  Write-Host "[+] Säubern der Simulation-Artefakte..." -ForegroundColor Cyan
  
  # Entfernen des erstellten Benutzers
  net user oldadministrator /delete
  
  # Hinweis: Wir aktivieren Defender nicht über das Skript wieder, um den Systemzustand nicht zu verändern 
  # es sei denn, dies ist speziell für die Stabilität der Testumgebung erforderlich.