PATCHCORD: Neuer Malware-Cluster zielt auf afghanische Telekom und südasiatische kritische Infrastruktur

Zusammenfassung

Eine laufende Kampagne setzt maßgeschneiderte Malware-Familien, einschließlich PATCHCORD und SHEETCORD, gegen Telekommunikationsanbieter und kritische Infrastrukturen in Südasien ein. Die Aktivität umfasst maßgeschneiderte C/C++ und Go-basierte Implantate, die mehrere Kommando-und-Kontroll-Methoden nutzen, darunter Google Sheets und GitHub Gists. Die Kampagne demonstriert eine kontinuierliche Weiterentwicklung sowohl im Zielansatz als auch in der operationellen Handwerkskunst.

Untersuchung

Die Acronis Threat Research Unit entdeckte die Kampagne nach der Analyse eines verdächtigen ZIP-Archivs, das einen bösartigen Inno Setup-Installer enthielt. Durch Pivoting über die zugehörige C2-Infrastruktur wurden mehrere Malware-Familien aufgedeckt, einschließlich PATCHCORD, SHEETCORD und HACKERAI C2, zusammen mit einem exponierten Staging-Server, der das Toolkit des Betreibers enthielt. Forscher verknüpften die Aktivität mit dem APT36-Cluster basierend auf Zielmustern und geteilter Infrastruktur.

Minderung

Organisationen sollten Priorität darauf legen, OpenSSH zu patchen, um regreSSHion zu adressieren, verfolgt als CVE-2024-6387, und unautorisierte Änderungen an den Registry-Run-Keys zu überwachen. Die Durchsetzung von Kontrollen bei der Integrität von Browser-Verknüpfungen und das Erkennen verdächtiger VBScript-Ausführungen können helfen, Persistenz zu verhindern. EDR/XDR-Lösungen sollten auch In-Memory-Shellcode-Ausführung und anomale Aktivitäten von Cloud-Service-APIs erkennen.

Antwort

Wenn bösartige Aktivitäten festgestellt werden, sollten kompromittierte Systeme sofort isoliert werden, um seitliche Bewegungen und Credential-Exfiltration einzuschränken. Ermittler sollten Browser-Verknüpfungen und Registry-Keys auf Persistenzmechanismen untersuchen. Google Cloud Platform und GitHub-Aktivitäten sollten ebenfalls auf nicht autorisierte Dienstkonten, Tokens oder Verbindungen überprüft werden, die den identifizierten C2-Mustern entsprechen.

Simulationsausführung

Voraussetzung: Der Telemetrie- und Basislinien-Pre-Flight-Check muss bestanden sein.

Begründung: Dieser Abschnitt beschreibt die präzise Ausführung der Angreifer-Technik (TTP), die darauf abzielt, die Erkennungsregel auszulösen. Die Befehle und Erzählungen MÜSSEN direkt die identifizierten TTPs widerspiegeln und darauf abzielen, die genaue Telemetrie zu erzeugen, die von der Erkennungslogik erwartet wird. Abstrakte oder nicht zusammenhängende Beispiele führen zu Fehldiagnosen.

• Angriffs-Narrativ & Befehle: Ein Angreifer hat sich anfänglichen Zugriff auf eine Workstation verschafft und ein spezialisiertes Implantat namens TMS_AfghanTelecom.exe in einem benutzerbeschreibbaren Verzeichnis abgelegt. Um standardmäßige dateibasierte Antivirenprogramme zu umgehen, führt der Angreifer das Implantat mit spezifischen Befehlszeilenparametern aus, die die Binärdatei anweisen, Shellcode direkt in den Speicher zu laden und so Festplatten-basierte Scans zu umgehen. Diese spezifische Befehlszeile (In-Memory-Shellcode-Ausführung) ist ein bekanntes Artefakt dieser Malware-Familie.

• Regressionstest-Skript:

  # Simulationsskript zur Validierung der PATCHCORD-Erkennung
  # Dieses Skript erstellt eine Dummy-Datei, um das Implantat zu simulieren, und führt es mit den Zielstrings aus.
  
  $workDir = "$env:TEMPPatchcordSim"
  if (!(Test-Path $workDir)) { New-Item -ItemType Directory -Path $workDir }
  
  $implantName = "TMS_AfghanTelecom.exe"
  $implantPath = Join-Path $workDir $implantName
  
  # Erstellen Sie eine Dummy-Ausführbare Datei (mit einem umbenannten Systemtool zur Sicherheit der Simulation)
  Copy-Item "C:WindowsSystem32cmd.exe" $implantPath
  
  # Führen Sie das 'Implantat' mit den spezifischen Strings aus, die in der Sigma-Regel definiert sind
  Write-Host "[!] Ausführung des simulierten PATCHCORD-Implantats..." -ForegroundColor Red
  Start-Process -FilePath $implantPath -ArgumentList "PATCHCORD Hauptausführungsfluss --mode 'In-memory shellcode execution' --target 'Remote shell execution'" -Wait
  
  Write-Host "[+] Simulation abgeschlossen. Überprüfen Sie SIEM auf Alarme." -ForegroundColor Green

• Säuberungsbefehle:

  # Säuberungsskript
  $workDir = "$env:TEMPPatchcordSim"
  if (Test-Path $workDir) {
      Remove-Item -Recurse -Force $workDir
      Write-Host "[+] Säuberung erfolgreich: Simuliertes Implantatverzeichnis entfernt." -ForegroundColor Cyan
  }