Dropping Elephant APT: Die Spionagetaktiken und das Werkzeugset von Patchwork

Zusammenfassung

Dropping Elephant, auch bekannt als Patchwork, ist eine auf Spionage fokussierte APT-Gruppe, die Regierungs- und Verteidigungsorganisationen ins Visier nimmt. Die Gruppe verlässt sich auf mehrstufige Angriffsketten, die bösartige Windows-Verknüpfungen, verschleiertes PowerShell und trojanisierte Android-Anwendungen beinhalten. Ihre Operationen nutzen fortgeschrittene Techniken wie DLL-Side-Loading, Memory-resident RATs und mehrschichtige Verschleierung, um Persistenz aufrechtzuerhalten und sensible Daten zu exfiltrieren.

Untersuchung

Der Bericht untersucht die Entwicklung der Taktiken von Dropping Elephant von 2015 bis 2026, einschließlich einer kürzlichen Verschiebung hin zum Windows-Side-Loading über VLC und spezielle Android-Überwachungstools. Er analysiert mehrere Malware-Lieferketten, einschließlich des Donut-Loaders und AES-256-CBC verschlüsselter Payloads. Die Untersuchung dokumentiert auch die Befehl-Zeilen-Verschleierung und Techniken zur Prozessinjektion, die verwendet werden, um Sicherheitskontrollen zu umgehen.

Abschwächung

Organisationen sollten einen starken Endpunktschutz einsetzen, der in der Lage ist, unautorisierte PowerShell-Ausführung und DLL-Side-Loading-Aktivitäten zu erkennen. Das Überwachen verdächtiger geplanter Aufgaben und das Erstellen von Dateien in beschreibbaren Verzeichnissen wie C:UsersPublic ist essenziell. Die Durchsetzung strikter Anwendungskontrollrichtlinien und Mobilgeräteverwaltung kann ebenfalls das Risiko durch trojanisierte Android-Anwendungen verringern.

Antwort

Wenn Aktivität von Dropping Elephant erkannt wird, sollten betroffene Windows- und Android-Endpunkte sofort isoliert werden, um die seitliche Bewegung und weitere Datenexfiltration zu begrenzen. Reaktionsteams sollten Speicherforensik durchführen, um injizierten Code zu identifizieren, und geplante Aufgaben überprüfen, um Persistenz zu entdecken. Eine umfassendere Jagd sollte auch verdächtige LNK-Dateien, bösartige DLLs und unautorisierte C2-Verbindungen umfassen.

Simulation Ausführung

Voraussetzung: Der Telemetrie- & Basisvorab-Check muss bestanden sein.

Begründung: Dieser Abschnitt beschreibt die genaue Ausführung der Angreifertechnik (TTP), die darauf ausgelegt ist, die Erkennungsregel auszulösen. Die Befehle und der Ablauf müssen die identifizierten TTPs direkt widerspiegeln und zielen darauf ab, die genaue Telemetrie zu erzeugen, die von der Erkennungslogik erwartet wird. Abstrakte oder nicht verwandte Beispiele führen zu Fehldiagnosen.

• Angriffsnarrativ & Befehle: Der Angreifer zielt darauf ab, eine zweite Payload-Phase herunterzuladen, während er die Spuren des Download-Befehls minimiert. Um die Erkennung durch einfache Zeichenfolgenfilter zu umgehen, die nach Invoke-WebRequest or iwrsuchen, verwendet der Angreifer Zeichenfolgefragmentierung: iw''r. Außerdem unterdrückt der Angreifer die Fortschrittsanzeige, um Benutzeroberflächen-Artefakte zu verhindern, die einen Benutzer alarmieren könnten. Sobald die Payload geliefert und über einen verknüpfungsbasierten Persistenzmechanismus ausgeführt wird, löscht der Angreifer die Verknüpfung GRES3001.lnk um Spuren des Eintrittspunkts zu bereinigen.

• Regression Test Skript:

  # 1. Erstellen Sie eine Dummy-Datei, um das Löschen der Verknüpfung zu simulieren
  $lnkPath = "$env:USERPROFILEDownloadsGRES3001.lnk"
  New-Item -Path $lnkPath -ItemType File -Force
  
  # 2. Führen Sie die verschleierte Befehlssequenz aus, die darauf abzielt, die Regel auszulösen
  # Dies kombiniert die fragmentierte IWR, die Fortschrittsunterdrückung und das Löschen der Datei.
  powershell.exe -Command "$ProgressPreference = 'SilentlyContinue'; iw''r -Uri 'http://localhost/test.txt'; Remove-Item -LiteralPath "$env:USERPROFILEDownloadsGRES3001.lnk" -Force"

• Bereinigung Befehle:

  # Entfernen Sie alle während der Simulation erstellten Artefakte
  Remove-Item -Path "$env:USERPROFILEDownloadsGRES3001.lnk" -ErrorAction SilentlyContinue