Khmer Shadow zielt auf kambodschanische Regierungseinrichtungen in Spionagekampagne ab

Zusammenfassung

Ein neu identifiziertes Bedrohungscluster, das als Khmer Shadow verfolgt wird, führt Spionage-Operationen gegen kambodschanische Regierungsorganisationen durch, insbesondere in den Bereichen Verteidigung und öffentliche Arbeiten. Die Angreifer verwenden einen benutzerdefinierten C++-Loader namens NIGHTFORGE, um eine Havoc Demon-Nutzlast direkt in den Speicher einzuschleusen. Die Kampagne nutzt auch fortschrittliche Ausweichmethoden, einschließlich NTDLL Unhooking und Hell’s Gate Systemaufrufauflösung, um die Sichtbarkeit zu reduzieren und Sicherheitskontrollen zu umgehen.

Untersuchung

Acronis TRU entdeckte zwei separate Kampagnen, die Besprechungsthema-Selbstausführende Archive als anfängliche Liefermethode verwendeten. Analysten untersuchten den NIGHTFORGE-Loader und dokumentierten seine Fähigkeit, Systemaufrufe dynamisch aufzulösen und NTDLL auszuhaken, um bösartige Aktivitäten zu verbergen. Die Untersuchung verband auch mehrere Command-and-Control-Umgebungen, indem sie auf gemeinsame JARM-Fingerabdrücke und wiederverwendete Cloudflare Origin-Zertifikate setzte.

Minderung

Organisationen sollten eine strenge Überwachung auf verdächtiges DLL Sideloading-Verhalten implementieren, besonders wenn legitime signierte Binärdateien wie VMwareNamespaceCmd.exe beteiligt sind. Verteidiger sollten auch nach unbefugten geplanten Aufgaben und ungewöhnlichen Kindprozessen, einschließlich gpupdate.exe, die von unerwarteten übergeordneten Prozessen gestartet werden, Ausschau halten. Endpunktschutz, der in der Lage ist, direkte Systemaufrufaktivitäten und speicherresidente Nutzlasten zu erkennen, kann die Abdeckung weiter verbessern.

Reaktion

Wenn Khmer Shadow-Aktivitäten erkannt werden, sollten betroffene Systeme sofort isoliert werden, um die weitere Command-and-Control-Kommunikation zu unterbrechen. Ermittler sollten eine forensische Analyse des %LOCALAPPDATA% -Verzeichnisses durchführen, um alle persistierenden VMwareNamespace-bezogenen Artefakte zu identifizieren. Netzwerkprotokolle sollten auch auf ausgehenden HTTPS-Verkehr zu den bekannten Command-and-Control-Domains überprüft werden, und die auf kompromittierten Systemen verwendeten Anmeldedaten sollten zurückgesetzt werden.

Simulation-Ausführung

Voraussetzung: Die Telemetrie- & Basislinien-Vorabüberprüfung muss bestanden sein.

Begründung: Dieser Abschnitt beschreibt die genaue Ausführung der Angreifertechnik (TTP), die darauf abzielt, die Erkennungsregel auszulösen. Die Befehle und die Erzählung MÜSSEN direkt die identifizierten TTPs widerspiegeln und darauf abzielen, die exakte Telemetrie zu erzeugen, die von der Erkennungslogik erwartet wird. Abstrakte oder nicht in Zusammenhang stehende Beispiele führen zu Fehldiagnosen.

• Angrifferzählung & Befehle: Ein Angreifer hat erfolgreich ein Havoc-Demon-Implantat auf einer Arbeitsstation innerhalb des Zielnetzwerks eingesetzt. Um eine Command und Control (C2) einzurichten und grundlegende Perimeter-Abwehr zu umgehen, ist das Implantat so konfiguriert, dass es mit einer bestimmten Menge an Domains kommuniziert, die in der jüngsten Bedrohungsaufklärung bezüglich Khmer Shadow-Aktivitäten identifiziert wurden. Das Implantat wird eine HTTP-GET-Anfrage an sharingfile.cloud senden, um seine Präsenz zu signalisieren und weitere Anweisungen zu erwarten. Diese Aktion zielt darauf ab, einen Proxy-Protokolleintrag zu erzeugen, der die verdächtige Domain-Zeichenkette enthält.

• Regressionstest-Skript:

  # Simulationsskript, um die Khmer Shadow C2-Erkennungsregel auszulösen
  # Dies imitiert ein C2-Check-in über eine HTTP-Anfrage an eine verdächtige Domain.
  
  $C2_Domain = "http://sharingfile.cloud/api/v1/checkin"
  $UserAgent = "Havoc-Demon-Implant-v1.0"
  
  Write-Host "[!] Initiieren der simulierten C2-Kommunikation zu: $C2_Domain" -ForegroundColor Red
  
  try {
      # Verwendung von Invoke-WebRequest, um die Netzwerkaktivität zu simulieren
      # Ein benutzerdefinierter User-Agent wird verwendet, um eine spezifische Tool-Signatur zu imitieren
      $response = Invoke-WebRequest -Uri $C2_Domain -UserAgent $UserAgent -Method Get -ErrorAction SilentlyContinue
      Write-Host "[+] Anfrage erfolgreich gesendet (Hinweis: Fehlschlagen wird erwartet, wenn die Domain gesichert/ offline ist)." -ForegroundColor Green
  }
  catch {
      Write-Host "[+] Anfrage versucht. Überprüfen Sie die Proxy-Protokolle auf Verbindungsversuch zur verdächtigen Domain." -ForegroundColor Yellow
  }

• Säuberungsbefehle:

  # Keine permanenten Änderungen durch diese Simulation vorgenommen. 
  # Löschung der Befehlsverlauf zur Entfernung der Spuren der Simulation.
  Clear-History
  Write-Host "[+] Aufräumarbeiten abgeschlossen." -ForegroundColor Green