Lockige Kameraden: Abnormale Hyper-V-Aktivierung

Abnormaler Hyper-V-Aktivierung

Die Forschung deckt einen neuen Bedrohungsakteur auf, Curly COMrades, der Windows Hyper‑V nutzt, um eine versteckte Alpine Linux-VM auf kompromittierten Windows 10-Hosts zu erstellen. Die VM führt benutzerdefinierte Malware (CurlyShell und CurlCat) aus, um persistente Reverse-Shell- und Proxy-Funktionen bereitzustellen und gleichzeitig typische EDR-Erkennung zu umgehen. Zusätzliche Techniken umfassen PowerShell-basierte Kerberos-Ticket-Injektionen, die Erstellung lokaler Konten durch Gruppenrichtlinien und die Verwendung von Open-Source-Proxy-Tools.

Wie verstecken Curly COMrades Malware in Linux-VMs?

Curly COMrades verstecken Malware, indem sie kleine Alpine Linux-Instanzen innerhalb von Microsoft Hyper-V auf kompromittierten Windows-Hosts erstellen, benutzerdefinierte Installationen (als CurlyShell und CurlCat gemeldet) in diesen versteckten VMs ausführen und das Hyper-V-Netzwerk (Standard-Switch) nutzen, so dass ausgehender Traffic vom Host zu kommen scheint.

Sie setzen PowerShell-Helper und curl.exe auf dem Host ein, geben irreführende VM-Namen und beschränken die Hyper-V-Verwaltungsschnittstellen, um Erkennung zu verhindern, und wurden in einer Bitdefender-Analyse mit technischen Indikatoren und Abhilfemaßnahmen dokumentiert.

Minderung

Setzen Sie host-basierte Netzwerküberwachung ein (z. B. Bitdefender NAD), um anomalen ausgehenden Traffic vom Host-Netzwerkstapel zu erkennen. Härten Sie Windows, indem Sie Hyper-V aktivierungsweise deaktivieren oder streng kontrollieren und die Verwendung von DISM und PowerShell-Cmdlets einschränken, die VMs importieren/starten. Wenden Sie proaktive Härtung und Angriffsflächenreduzierung (PHASR) an, um die unbefugte Nutzung nativer Binärdateien (curl, rar, Import-VM, Start-VM) zu blockieren. Überwachen Sie die Erstellung neuer Hyper-V-VMs, ungewöhnliche VHDX/VMCX-Dateien in ProgramData und Crontab-Änderungen auf Linux-VMs. Erkennen Sie LSASS-Zugriff und Kerberos-Ticket-Injektion mit EDR/XDR-Zugriffsbenachrichtigungen. Erzwingen Sie das Prinzip des geringsten Privilegs für Gruppenrichtlinienskripte und prüfen Sie die Erstellung lokaler Konten. Verwenden Sie signaturbasierte und verhaltensbasierte Erkennung für benutzerdefinierte Implantate CurlyShell/CurlCat und bekannte Proxy-Tools.

Reaktion

Isolieren Sie betroffene Hosts, deaktivieren Sie Hyper-V und entfernen Sie die versteckten VM-Dateien und zugehörigen VHDX/VMCX-Bilder. Führen Sie einen vollständigen Datei- und Registrierungsscan für die PowerShell-Skripte (kb_upd.ps1, screensaver.ps1, locals.ps1) durch und löschen Sie diese. Setzen Sie nicht autorisierte lokale Konten zurück oder entfernen Sie sie und ändern Sie Passwörter. Blockieren Sie ausgehende Verbindungen zu den identifizierten C2-IPs (z. B. 45.43.91.10, 88.198.91.116) und aktualisieren Sie die Firewall-Regeln. Setzen Sie Erkennungsregeln für die speziellen DLL/ELF-Signaturen von CurlyShell und CurlCat sowie für die beobachteten Proxy-Tools ein. Führen Sie eine Bedrohungssuche mit IOCs aus dem öffentlichen GitHub-Repository durch. Arbeiten Sie mit CERTs für den Informationsaustausch zusammen und überwachen Sie weitere Aktivität. Wenden Sie Patches an und aktualisieren Sie, um eventuell ausgenutzte CVEs zu beheben (sofern welche identifiziert wurden).

Simulationsanweisungen

Simulationsausführung

Voraussetzung: Die Telemetrie- & Basislinien-Prüfung vor dem Flug muss bestanden haben.

Begründung: Dieser Abschnitt beschreibt die genaue Ausführung der Angreifertechnik (TTP), die darauf abzielt, die Erkennungsregel auszulösen. Die Befehle und die Erzählung MÜSSEN direkt den identifizierten TTPs entsprechen und zielen darauf ab, genau die Telemetrie zu generieren, die von der Erkennung vorgesehen ist. Abstrakte oder nicht zusammenhängende Beispiele führen zu einer Fehldiagnose.

• Angriffsablauf & Befehle:
  Der Angreifer hat bereits ein Konto mit geringem Privileg kompromittiert und auf ein Dienstkonto eskaliert, das über Administratorrechte für Hyper-V verfügt. Um die unauffällige Persistenz aufrechtzuerhalten, erstellt er ein verstecktes VM-Abbild im AppV-Cache-Verzeichnis (c:programdatamicrosoftAppVappVirtual Machines1DBCC80B-5803-4AF1-8772-712C688F408A.vmcx). Mithilfe von PowerShell importieren sie diese VM leise und starten sie mit dem Namen WSL, getarnt als legitime Windows Subsystem for Linux-Instanz. Diese exakte Befehlszeile stimmt mit den fest codierten Zeichenfolgen der Sigma-Regel überein und stellt sicher, dass der Alarm ausgelöst wird.

• Regressionstest-Skript:

  # -------------------------------------------------
  # Simulation der Curly COMrades Hyper‑V-Persistenz
  # -------------------------------------------------
  # Variablen (genaue Zeichenfolgen aus der Regel spiegeln)
  $vmPath = 'c:programdatamicrosoftAppVappVirtual Machines1DBCC80B-5803-4AF1-8772-712C688F408A.vmcx'
  $vmName = 'WSL'