„EndClient RAT“ – Neuer Kimsuky APT-Malware

EndClient RAT Analyse

EndClient RAT ist ein kürzlich beobachteter Remote-Access-Trojaner, der mit dem Kimsuky-Cluster in Verbindung gebracht wird. Er kommt über signierte Binärdateien oder Skript-Dropper (unter Verwendung gestohlener Code-Signaturzertifikate zur Umgehung von SmartScreen/AV), bietet Remote-Shell-/Befehlsausführung, Datei-Upload/Download, Persistenz und C2 über HTTP(S), zeigt bisher niedrige Erkennungsraten und wurde in anfänglichen technischen Berichten mit IOCs dokumentiert.

Sofortige Maßnahmen umfassen das Sammeln von Dateihashes und Zertifikat-Seriennummern, das Blockieren bekannter C2-Domains/URLs, das Widerrufen oder Fixieren unerwarteter Codesignaturzertifikate, das Aktivieren der Anwendungs-Whitelisting, das Verschärfen der E-Mail-/Anlagenkontrollen und das Aufspüren von anomal signierten Ausführbaren.

Untersuchung

Die technische Analyse zeigt die folgenden ATT&CK-Techniken: T1059.003 (Command-Shell über verstecktes cmd.exe und benannte Pipes), T1105 (Ingress Tool Transfer über Download-/Upload-Befehle), T1569.001 (Create Process), T1053.005 (Geplante Aufgabe zur Persistenz), T1027 (Veränderte/Gespeicherte Dateien – AutoIT-Skript kompiliert und polymorphe Mutation beim Erkennen von Avast), T1547.009 (Verknüpfungsänderung – LNK im Autostart), T1543.003 (Windows-Dienst – Kopieren von schtasks.exe zu hwpviewer.exe), T1036.005 (Maskierung – signiertes MSI mit gestohlenem Zertifikat), T1574.001 (Entführung des Ausführungsflusses – DLL-Aufrufe), T1129 (Geteilte Module – Nutzung gemeinsamer Speicherkartuschen für Base64, LZMA, binäre Suche). Der RAT verwendet ein globales Mutex (GlobalAB732E15-D8DD-87A1-7464-CE6698819E701), um mehrere Instanzen zu verhindern, prüft auf Avast AV, erstellt eine geplante Aufgabe namens „IoKlTr“, die jede Minute ausgeführt wird, und legt Dateien in C:UsersPublicMusic ab. Netzwerk-C2 erfolgt über TCP zu 116.202.99.218:443 mit sentinel-gerahmten JSON-Markern „endClient9688“ und „endServer9688“.

Minderung

Blockieren der Ausführung von unsignierten oder verdächtigen MSI-Installern, insbesondere von denen, die mit gestohlenen Zertifikaten signiert sind. Überwachen und Alarme bei der Erstellung geplanter Aufgaben mit Namen „IoKlTr“ oder ähnlichen, sowie LNK-Dateien im Autostart-Ordner (z. B. Smart_Web.lnk). Erkennen des globalen Mutex-Werts und der Verwendung von AutoIT-Binärdateien (AutoIt3.exe). Durchsetzen der Netzwerk-Egress-Filterung, um die C2-IP 116.202.99.218 und jeglichen Verkehr mit den benutzerdefinierten JSON-Markern zu blockieren. Endpoint-Schutz bereitstellen, der kompilierte AutoIT-Skripts inspizieren und polymorphe Dateimutationen erkennen kann. Implementieren von Code-Signatur-Verifizierungen und Widerrufen für kompromittierte Zertifikate.

Reaktion

Im Verdachtsfall einer Infektion den betroffenen Host isolieren, Speicherauszüge und die MSI-Datei für forensische Analysen sammeln, geplante Aufgaben-Definitionen, LNK-Dateien und Mutex-Listings erfassen. Alle abgelegten Binärdateien hashen und mit bekannten IOCs vergleichen. Die geplante Aufgabe entfernen, die LNK-Verknüpfung löschen und Dateien in C:UsersPublicMusic, die mit dem RAT in Verbindung stehen, löschen. Die C2-IP blockieren und Firewall-Regeln aktualisieren. Eine vollständige Indikatorensuche in der Umgebung für das Mutex, benannte Pipe-Muster und die benutzerdefinierten JSON-Markern durchführen. Die Ergebnisse den relevanten Stakeholdern zur Verfügung stellen und in Betracht ziehen, betroffene Menschenrechtsorganisationen zu benachrichtigen.

CVE-2025-59287 Simulation

Simulationsausführung

Voraussetzung: Der Telemetrie- & Basislinien-Pre-Flight-Check muss bestanden haben.

• Angriffserzählung & Befehle:

  1. Die signierte MSI bereitstellen (StressClear.msi) an den Zielhost.
  2. Die MSI leise ausführen, was ein eingebettetes AutoIt-Skript extrahiert (payload.au3).
  3. Das AutoIt-Skript startet AutoIt3.exe, das wiederum ein verstecktes cmd.exe ausführt, um eine umgekehrte Shell zu öffnen.
  4. Um Persistenz herzustellen, kopiert das Skript die legitime schtasks.exe nach C:WindowsTemphwpviewer.exe und registriert eine geplante Aufgabe, die dieses umbenannte Binärprogramm beim Systemstart aufruft.
  5. Der versteckte cmd.exe Prozess wird mit dem Argument hidden gestartet, um die Benutzersichtbarkeit zu vermeiden und die Ausschlusskriterien der Regel zu erfüllen, wenn korrekt weggelassen.

• Regressionstest-Skript:

  # -------------------------------------------------
  # EndClient RAT-Bereitstellung und -Ausführungssimulation
  # -------------------------------------------------
  # 1. Die signierte MSI installieren (liefert AutoIt-Nutzlast)
  msiexec /i "C:TempStressClear.msi" /quiet /norestart
  
  # 2. Das extrahierte AutoIt-Skript lokalisieren (simulierter Pfad)
  $autoitScript = "C:ProgramDataStressClearpayload.au3"
  
  # 3. AutoIt3.exe mit dem Skript ausführen
  $autoItExe = (Get-Command "AutoIt3.exe" -ErrorAction SilentlyContinue).Source
  if (-not $autoItExe) {
      Write-Error "AutoIt3.exe not found on system. aborting."