FrostyNeighbor: Frische Unruhe und digitale Bedrohungen

Zusammenfassung

ESET berichtet, dass die FrostyNeighbor APT-Gruppe, auch bekannt als Ghostwriter, Angriffe gegen ukrainische Regierungsorganisationen wieder aufgenommen hat. Dazu nutzt sie Spear-Phishing-PDFs, die einen JavaScript-basierten Downloader namens PicassoLoader übermitteln, der letztendlich ein Cobalt-Strike-Beacon bereitstellt. Die Kampagne stützt sich auf geobasierte Validierung, geplante Task-Persistenz und verschiedene Techniken zur Dateiablage, um Sichtbarkeit zu reduzieren und Erkennung zu umgehen. Die Infrastruktur ist hinter Cloudflare positioniert und nutzt mehrere needbinding.icu Domains.

Untersuchung

Forscher rekonstruierten die vollständige Angriffskette, beginnend mit dem bösartigen PDF-Köder, fortgesetzt über den JavaScript-Dropper und den PicassoLoader-Downloader bis hin zur Bereitstellung der Cobalt-Strike-Nutzlast. Sie extrahierten Indikatoren, einschließlich Dateinamen, Registry-Änderungen und Command-and-Control-URLs, und verbanden diese mit bekannten FrostyNeighbor-Praktiken. Der Bericht hebt auch die Ausnutzung von CVE-2023-38831 in WinRAR und CVE-2024-42009 in Roundcube.

Abmilderung

Organisationen sollten verdächtige Anhangstypen blockieren, strikte Kontrollen über Makro- und Skriptausführung durchsetzen, geplante Tasks von unbekannten Binärdateien überwachen und ausgehenden HTTPS-Verkehr zu bekannten bösartigen Domains einschränken. Die referenzierten Schwachstellen sollten umgehend gepatcht werden, und Einschränkungen des geringsten Privilegs sollten auf den Gebrauch von rundll32.exe angewendet werden.

Reaktion

Wenn verwandte Indikatoren erkannt werden, isolieren Sie das betroffene System sofort, sammeln Sie forensische Artefakte und suchen Sie sowohl nach dem Cobalt-Strike-Beacon als auch nach PicassoLoader-Komponenten. Setzen Sie alle exponierten Anmeldeinformationen zurück und überprüfen Sie geplante Tasks sowie Run-Key-Einträge auf Anzeichen von Persistenz.

Simulation Ausführung

Voraussetzung: Der Telemetrie- & Basis-Prüf-Vorflug muss bestanden worden sein.

Begründung: Dieser Abschnitt beschreibt die genaue Ausführung der gegnerischen Technik (TTP), die die Erkennungsregel auslösen soll. Die Befehle und der Verlauf MÜSSEN die identifizierten TTPs direkt widerspiegeln und darauf abzielen, die genau erwartete Telemetrie zu erzeugen, die durch die Erkennungslogik erkannt wird.

• Angriffserzählung & Befehle:

  Der Angreifer hat einen Fuß in die Tür auf dem Opferhost bekommen und möchte unbemerkt ein Cobalt Strike-Beacon bereitstellen. Sie:

  1. Kopieren rundll32.exe an einen nicht standardmäßigen Ort (C:ProgramDataTemprundll32.exe), um einfache Whitelist-Alarme zu umgehen.
  2. Die bösartige DLL ablegen (ViberPC.dll) in %ProgramData%. Diese DLL enthält die gebootstrappte Cobalt Strike-Nutzlast.
  3. Die kopierte durchführen rundll32.exe mit einer Befehlszeile, die die bösartige DLL lädt (%ProgramData%ViberPC.dll).
  4. Zwei JavaScript-Dateien ablegen (53_7.03.2026_R.js and Update.js), die JScript enthalten, das den C2-Server kontaktiert und die Beacon-Installation abschließt.
  5. Die JavaScript-Dateien ausführen unter Verwendung von cscript.exe, was zur Erstellung von Prozessen führt, deren Bild endet mit .js und deren Befehlslinie die genauen Dateinamen enthält.

  Diese Schritte erzeugen die genauen Sysmon-Prozess-Erstellungsereignisse, die durch Auswahl1, Auswahl2und Auswahl3 in der Sigma-Regel erfasst werden.

• Regressionstest-Skript:

  # FrostyNeighbor Cobalt Strike Bereitstellungssimulation
  # -------------------------------------------------
  # 1. Pfade vorbereiten
  $tempDir = "$env:ProgramDataTemp"
  $rundllCopy = Join-Path $tempDir "rundll32.exe"
  $malDll    = "$env:ProgramDataViberPC.dll"
  $js1       = "$env:ProgramData53_7.03.2026_R.js"
  $js2       = "$env:ProgramDataUpdate.js"
  
  # 2. Sicherstellen, dass das Tempverzeichnis existiert
  New-Item -Path $tempDir -ItemType Directory -Force | Out-Null
  
  # 3. Kopieren Sie rundll32.exe an einen nicht-standardmäßigen Ort
  Copy-Item -Path "$env:SystemRootSystem32rundll32.exe" -Destination $rundllCopy -Force
  
  # 4. Erstellen Sie eine Dummy-bösartige DLL (in einem echten Angriff wäre dies die Nutzlast)
  $dummyDll = [IO.File]::ReadAllBytes("$env:SystemRootSystem32driversetchosts") # Platzhalter-Binärdatei
  [IO.File]::WriteAllBytes($malDll, $dummyDll)
  
  # 5. Führen Sie die kopierte rundll32 mit der bösartigen DLL aus
  Start-Process -FilePath $rundllCopy -ArgumentList "`"$malDll`"" -WindowStyle Hidden
  
  # 6. JavaScript-Nutzlasten ablegen
  $jsContent = @"
  // Einfaches JScript, das zu einem C2-Endpunkt gelangt (simuliert)
  var xhr = new ActiveXObject("MSXML2.XMLHTTP");
  xhr.open("GET", "http://127.0.0.1:8080/beacon", false);
  xhr.send();
  "@
  
  Set-Content -Path $js1 -Value $jsContent -Encoding ASCII
  Set-Content -Path $js2 -Value $jsContent -Encoding ASCII
  
  # 7. Die JavaScript-Dateien über cscript ausführen (dies erzeugt Prozesse mit .js-Bild)
  Start-Process -FilePath "cscript.exe" -ArgumentList "//NoLogo `"$js1`"" -WindowStyle Hidden
  Start-Process -FilePath "cscript.exe" -ArgumentList "//NoLogo `"$js2`"" -WindowStyle Hidden
  
  # 8. Pause für die SIEM-Aufnahme
  Start-Sleep -Seconds 15

• Bereinigungskommandos:

  # Bereinigung nach der Simulation
  $paths = @(
      "$env:ProgramDataViberPC.dll",
      "$env:ProgramData53_7.03.2026_R.js",
      "$env:ProgramDataUpdate.js",
      "$env:ProgramDataTemprundll32.exe"
  )
  foreach ($p in $paths) {
      if (Test-Path $p) { Remove-Item -Path $p -Force }
  }
  # Gegebenenfalls laufende cscript-Prozesse beenden, die durch den Test gestartet wurden
  Get-Process -Name cscript -ErrorAction SilentlyContinue | Stop-Process -Force