Handala-Bedrohungsgruppe: Taktiken, Ziele und Angriffszeitachse

Zusammenfassung

Handala ist eine Iran-verbundene Hacktivistengruppe, die destruktive Cyber-Operationen durchführt. Die Gruppe verwendet mehrstufige Angriffsvektoren, die Phishing, AutoIT-basierte Loader und Wiper-Malware kombinieren. Ihre Kampagnen zielen hauptsächlich darauf ab, Störungen zu verursachen und Daten in israelischen, US-amerikanischen und regionalen Infrastrukturzielen zu zerstören.

Ermittlung

Der Bericht beschreibt Handalas Wandel von traditioneller Hacktivistenaktivität hin zu fortgeschritteneren destruktiven Operationen. Er untersucht die Nutzung von BYOVD-Techniken der Gruppe zur Privilegieneskalation und den Einsatz von Wiper-Payloads in sowohl Windows- als auch Linux-Umgebungen. Die technische Analyse umfasst auch die Command-and-Control-Aktivität über Telegram und die in Batch-Skripts eingebetteten Verschleierungsmethoden.

Abschwächung

Organisationen sollten strenge E-Mail-Filter anwenden, um bösartige Anhänge und verdächtige ZIP-basierte Downloads zu blockieren. Die Begrenzung der Verwendung von anfälligen oder nicht autorisierten Treibern kann das Risiko eines BYOVD-Missbrauchs verringern, während die Überwachung auf nicht autorisierte AutoIT-Ausführungen helfen kann, frühe Aktivitäten zu erkennen. Endpoint-Verteidigungen sollten ebenfalls abgestimmt werden, um schnelle Dateiüberschreibungen und nicht autorisiertes Festplattenformatierungsverhalten zu identifizieren.

Reaktion

Wenn Aktivitäten im Zusammenhang mit Handala erkannt werden, sollten betroffene Hosts sofort isoliert werden, um die Ausbreitung von Wiper-Malware zu stoppen. Ermittler sollten Speicherforensik durchführen, um injizierten Shellcode zu identifizieren und Systeme auf nicht autorisierte Treiberladungen zu überprüfen. E-Mail-Protokolle sollten ebenfalls analysiert werden, um den Umfang der Phishing-Kampagne zu bestimmen, und kompromittierte Anmeldeinformationen sollten unverzüglich geändert werden.

Simulationausführung

Voraussetzung: Der Telemetrie- & Basislinien-Vorab-Check muss bestanden sein.

Begründung: Dieser Abschnitt beschreibt die präzise Ausführung der Gegnertechnik (TTP), die die Erkennungsregel auslösen soll. Die Befehle und Erzählmittel müssen die identifizierten TTPs direkt widerspiegeln und darauf abzielen, die genaue Telemetrie zu generieren, die von der Erkennungslogik erwartet wird. Abstrakte oder nicht zusammenhängende Beispiele führen zu Fehldiagnosen.

• Angriffsnarrative & Befehle: Der Angreifer hat erfolgreich einen bösartigen NSIS-Installer über einen Spearphishing-Anhang ausgeliefert. Bei der Ausführung wird die NSIS-Engine verwendet, um eine versteckte Befehlszeile auszuführen. Das Ziel ist es, ein sekundäres Skript (Carroll.cmd) in das Arbeitsverzeichnis abzulegen und es sofort ohne Benutzerinteraktion auszuführen. Um unentdeckt zu bleiben, nutzt der Angreifer SW_HIDE um zu verhindern, dass ein Befehlszeilenfenster auf dem Desktop des Benutzers erscheint. Diese Technik nutzt legitime Installationssoftware, um beliebige Befehle auszuführen.

• Regression Test-Skript:

  # Simulationsskript: Nachahmung der NSIS-Befehlszeilenausführung
  # Hinweis: Da wir die 'Befehlszeile' simulieren, die von der Regel erfasst wird,
  # werden wir eine Prozesserstellung auslösen, die den spezifisch erkannten String imitiert.
  
  $MaliciousCommand = 'ExecShell open cmd "/k copy Carroll Carroll.cmd & Carroll.cmd & exit" SW_HIDE'
  
  # Um die NSIS-Prozesserstellung genau zu simulieren, rufen wir cmd.exe mit dem String als Argument auf,
  # um sicherzustellen, dass er in der Befehlszeilentelemetrie erscheint.
  Start-Process "cmd.exe" -ArgumentList "/c echo $MaliciousCommand"
  
  Write-Host "Simulationsbefehl ausgeführt. Prüfen Sie SIEM auf: $MaliciousCommand"

• Bereinigungskommandos:

  # Entfernen Sie alle während der Simulation erstellten Dateien
  Remove-Item -Path "$env:TEMPCarroll.cmd" -ErrorAction SilentlyContinue
  Remove-Item -Path "$env:TEMPCarroll" -ErrorAction SilentlyContinue