Cyberangriff der Gruppe APT28 mit dem Schadprogramm CredoMap_v2 (CERT-UA#4622)

Simulationsausführung

Voraussetzung: Der Telemetrie- & Basislinien-Pre‐flight-Check muss bestanden sein.

Begründung: Dieser Abschnitt beschreibt die genaue Ausführung der gegnerischen Technik (TTP), die dazu bestimmt ist, die Erkennungsregel auszulösen. Die Befehle und die Darstellung MÜSSEN direkt mit den identifizierten TTPs übereinstimmen und zielen darauf ab, genau die Telemetrie zu erzeugen, die von der Erkennungslogik erwartet wird. Abstrakte oder nicht verwandte Beispiele führen zu Fehldiagnosen.

• Angriffserzählung & Befehle:
  Ein APT28-Bediener erhält eine Phishing-Mail mit einem passwortgeschützten RAR-Archiv. Darin befindet sich eine selbstextrahierende (SFX) ausführbare Datei namens UkrScanner.exe. Nachdem das Archiv auf dem Rechner des Opfers entpackt wurde, führt der Bediener den SFX-Stummel aus, der die Malware CredoMap_v2 ablegt und ausführt. Die Ausführung von UkrScanner.exe erzeugt ein Prozesserstellungsereignis, das mit der Erkennungsregel übereinstimmt.

  Simulationsschritte (auf dem Testhost ausgeführt):

  1. Erstellen Sie eine Dummy-Auszählbare namens UkrScanner.exe (Kopie von powershell.exe zur Sicherheit).
  2. Starten Sie die Dummy-Auszählbare, um die Ausführung der SFX-Datei durch den Angreifer zu simulieren.

• Regressionstest-Skript:

  # ==============================
  # Simulation der Ausführung von CredoMap_v2 aus SFX (UkrScanner.exe)
  # ==============================
  $tempPath = "$env:TEMPUkrScanner.exe"
  
  # 1. Bereiten Sie ein ungefährliches Ersatz-Payload vor (Kopie von powershell.exe)
  Copy-Item -Path "$env:SystemRootSystem32WindowsPowerShellv1.0powershell.exe" -Destination $tempPath -Force
  
  # 2. Stellen Sie sicher, dass die Datei ausführbar ist
  Unblock-File -Path $tempPath
  
  # 3. Führen Sie die Dummy-SFX-Stummel aus (simuliert den Angriff durch das Ausführen der Datei)
  Write-Host "Dummy-SFX ausführbar ausführen..."
  Start-Process -FilePath $tempPath -ArgumentList "-NoProfile -WindowStyle Hidden" -PassThru
  
  # 4. Pause, um die SIEM-Aufnahme zu ermöglichen
  Start-Sleep -Seconds 5
  Write-Host "Simulation abgeschlossen. Überprüfen Sie SIEM auf eine Erkennung der Prozesserstellung, die mit 'UkrScanner.exe' endet."

• Bereinigungsbefehle:

  # Stoppen Sie alle verweilenden Powershell-Prozesse, die durch die Dummy-Auszählbare gestartet wurden (falls vorhanden)
  Get-Process -Name "powershell" -ErrorAction SilentlyContinue | Where-Object {$_.Path -like "*UkrScanner.exe"} | Stop-Process -Force
  
  # Entfernen Sie die Dummy-Auszählbare
  $tempPath = "$env:TEMPUkrScanner.exe"
  if (Test-Path $tempPath) {
      Remove-Item -Path $tempPath -Force
      Write-Host "Bereinigung abgeschlossen: $tempPath entfernt"
  }