Malware-Jagd deckt einen heimlichen universellen Rootkit Loader auf

Zusammenfassung

Ein neu entdeckter von Microsoft signierter Rootkit-Loader ermöglicht Angreifern, unsignierte Kernel-Module auf kompromittierten Systemen bereitzustellen. Die Malware verwendet einen Erststufen-Treiber, um mit der C2-Infrastruktur zu kommunizieren und Plug-ins der zweiten Stufe direkt in den Speicher zu laden. Dieses unauffällige Ausführungsmodell hilft dabei, dateibasierte Erkennungen zu umgehen, während es dabei hoch privilegierten Zugriff auf Kernel-Ebene aufrechterhält.

Untersuchung

Forscher identifizierten eine Gruppe von signierten Treibern, die das Windows Hardware Compatibility Program (WHCP) missbrauchten, um legitime Microsoft-Signaturen zu erhalten. Die Untersuchung enthüllte ein zweistufiges Ausführungsmodell, bei dem ein signierter Loader die Injektion von angepassten, unsignierten Kernel-Treibern übernimmt. Code- und Infrastruktur-Analysen zeigten auch Ähnlichkeiten zum bereits dokumentierten FiveSys-Rootkit.

Minderung

Organisationen sollten auf verdächtiges oder unautorisiertes Laden von Kernelmodus-Treibern und unerwartete Registry-Änderungen, die Sicherheitsdienste betreffen, überwachen. Der Einsatz von Endpunkterkennung, die in der Lage ist, Speicher-Only-Modul-Ladung zu identifizieren, ist entscheidend für die Erkennung dieser Aktivität. Die Einschränkung der Verwendung von WHCP-signierten Treibern von unbekannten oder nicht vertrauenswürdigen Anbietern kann die Exposition weiter reduzieren.

Reaktion

Wenn diese Aktivität festgestellt wird, sollten betroffene Systeme isoliert werden, um C2-Kommunikation zu unterbrechen und seitliche Bewegungen zu verhindern. Führen Sie Speicher-Forensik durch, um injizierte Kernel-Module zu identifizieren, die möglicherweise nie auf die Festplatte geschrieben werden. Überprüfen Sie die Registry-Integrität, wobei besonderer Fokus auf Image File Execution Options und unautorisierte Änderungen an Sicherheitsrichtlinien gelegt werden sollte.

Simulationsausführung

• Angriffserzählung & Befehle: Der Gegner beabsichtigt, eine Rootkit-Komponente bereitzustellen, die ihre Präsenz maskiert, indem sie mit einem bösartigen Treiber kommuniziert. Um herkömmliche dateibasierte Erkennung zu umgehen, verwendet der Angreifer einen „Living-off-the-Land“-Ansatz und verwendet ein PowerShell-Skript, um mit einem Treiber zu interagieren, der in den Kernel eingeschleust wurde. Das Skript zielt spezifisch auf den IRP_MJ_DEVICE_CONTROL Handler, indem es einen gestalteten IOCTL (I/O Control) Code sendet, der das Kommunikationsmuster des identifizierten Rootkit-Loaders nachahmt, um einen Kontroll- und Steuerungskanal herzustellen und Sicherheitsfunktionen zu deaktivieren.

• Regressionstest-Skript:

  # Simulationsskript, um die Kommunikation mit dem Rootkit-Loader-Treiber nachzuahmen
  # Hinweis: Dies erfordert einen Treiber, der auf diese spezifischen Muster reagiert, 
  # oder simuliert die IRP-Handler-Aufrufe über einen Mock-Treiber.
  
  $SymbolicName = "x1cx1c??x1ceae971b87"
  Write-Host "[+] Simulation der Treiberinteraktion mit symbolischem Namen: $SymbolicName"
  
  # In einem realen Szenario würde dies den Aufruf von DeviceIoControl über P/Invoke beinhalten
  # Für Simulations-/Testzwecke simulieren wir den Telemetrieauslöser
  $signature = @{
      SymbolicName = "x1cx1c??x1ceae971b87"
      IOControlHandler = "IRP_MJ_DEVICE_CONTROL"
      ShutdownHandler = "IRP_MJ_SHUTDOWN"
  }
  
  Write-Host "[+] Senden eines gestalteten IOCTL zur Detektion..."
  # Logik zur Simulation der Generierung des Kernel-Events für den spezifischen SymbolicName
  # Dieser Teil ist konzeptionell, damit der BAS-Agent den spezifischen Log-Eintrag auslöst
  New-EventLog -LogName "Microsoft-Windows-Sysmon" -Source "Sysmon" # Auslöser simulieren

• Bereinigungsbefehle:

  # Entfernen Sie alle temporären Dateien oder simulierten Treiberartefakte
  Remove-Item -Path "$env:TEMProotkit_sim.tmp" -ErrorAction SilentlyContinue
  Write-Host "[+] Bereinigung abgeschlossen."