JanaWare-Ransomware zielt mithilfe von Adwind RAT auf die Türkei ab

Zusammenfassung

Ein Bedrohungscluster verwendet eine angepasste Variante des Java-basierten Adwind RAT, um eine Ransomware-Payload namens JanaWare bereitzustellen. Die Aktivität richtet sich hauptsächlich an Benutzer in der Türkei, wobei die Malware lokale und IP-basierte Überprüfungen durchführt, bevor sie die Ausführung fortsetzt. Forscher haben seit 2020 verwandte Proben verfolgt, während neuere Command-and-Control-Aktivitäten darauf hindeuten, dass die Kampagne 2025 aktiv blieb.

Untersuchung

Das Acronis TRU-Team untersuchte bösartige JAR-Dateien, die über Phishing-E-Mails verbreitet wurden, welche über Outlook und Chrome gestartet wurden. Nach der Ausführung wechselte die Infektionskette zu javaw.exe, welches den maßgeschneiderten Adwind RAT-Strain lud und später die JanaWare-Ransomware-Komponente bereitstellte. Die Analyse zeigte auch die Verwendung polymorpher JAR-Dateien, Tor-basierter Command-and-Control-Infrastruktur und eine Erpressernachricht auf Türkisch.

Eindämmung

Verteidiger sollten die bösartige Domain blockieren elementsplugin.duckdns.org und alle damit verbundenen Ports, während die Ausführung unsignierter Java-JAR-Dateien in der gesamten Umgebung eingeschränkt wird. Sicherheitsteams sollten auch auf verdächtige chrome.exe Befehlszeilen achten, die mit Downloads von Google Drive verbunden sind, und den E-Mail-Schutz gegen Phishing-Übertragungen verstärken. Endpunktverteidigungen sollten abgestimmt werden, um das Verhalten von Adwind RAT sowie verdächtige Dateiverschlüsselungsaktivitäten im Zusammenhang mit der Ausführung von Ransomware zu identifizieren.

Reaktion

Bei Verdacht auf Infektion sollten betroffene Systeme sofort isoliert und javaw.exe und alle damit verbundenen bösartigen Prozesse beendet und flüchtige Beweise vor dem Herunterfahren oder Bereinigen erfasst werden. Die Wiederherstellungsmaßnahmen sollten darauf abzielen, Dateien aus verifizierten sauberen Backups wiederherzustellen. Die Vorfallreaktionsteams sollten auch verfügbare Command-and-Control-Telemetrie sammeln und bewerten, ob eine Benachrichtigung der Strafverfolgungsbehörden in Fällen mit Lösegeldforderungen oder Erpressung angemessen ist.

Simulation-Ausführung

Voraussetzung: Die Telemetrie- und Basislinien-Vorflugprüfung muss bestanden sein.

Begründung: Dieser Abschnitt beschreibt die genaue Ausführung der Gegnertechnik (TTP), die darauf abzielt, die Erkennungsregel auszulösen. Die Befehle und das Narrativ MÜSSEN die identifizierten TTPs direkt widerspiegeln und darauf abzielen, die genau erwartete Telemetrie zu erzeugen, die durch die Erkennungslogik erwartet wird.

• Angriffserzählung & Befehle:
  Ein Angreifer, der Zugriff mit geringen Benutzerrechten erlangt hat, möchte Windows Defender deaktivieren, um den Weg für die Ransomware-Bereitstellung zu ebnen. Unter Verwendung des signierten powershell.exe Programmdatei (T1218.001), führt der Angreifer einen Einzeiler aus, der die Echtzeitüberwachung deaktiviert und den cloud-basierten Schutz deaktiviert und somit die Verteidigungsposition des Endpunkts schwächt.

  # Deaktivieren der Echtzeitüberwachung und des cloud-basierten Schutzes
  Set-MpPreference -DisableRealtimeMonitoring $true -MAPSReporting Disable

  Die Befehlszeile enthält das Set-MpPreference Stichwort, das den Kriterien der Erkennungsregel entspricht. Auswahl Kriterien.

• Regressionstest-Skript: Das folgende selbstständige PowerShell-Skript reproduziert den Angriff und stellt sicher, dass die Telemetrie generiert wird.

  # ==============================
  # Simulation: Microsoft Defender deaktivieren
  # ==============================
  try {
      Write-Host "[*] Deaktivieren der Echtzeitüberwachung..."
      Set-MpPreference -DisableRealtimeMonitoring $true -MAPSReporting Disable
      Write-Host "[+] Defender deaktiviert."
  } catch {
      Write-Error "Modifikation der Defender-Einstellungen fehlgeschlagen: $_"
  }

• Säuberungsbefehle: Stellen Sie die ursprüngliche Defender-Konfiguration wieder her, um zu vermeiden, den Endpunkt ungeschützt zu lassen.

  # Echtzeitüberwachung und Cloud-Schutz wieder aktivieren
  Set-MpPreference -DisableRealtimeMonitoring $false -MAPSReporting Advanced
  Write-Host "[*] Defender auf Standardzustand zurückgesetzt."