Pawn Storm Kampagne setzt PRISMEX ein, zielt auf Regierungs- und kritische Infrastruktureinrichtungen ab

Zusammenfassung

Wenn PRISMEX-Aktivität erkannt wird, isolieren Sie sofort die betroffenen Systeme, erfassen Sie flüchtigen Speicher zur Extraktion von .NET-Assemblies im Speicher und suchen Sie nach den charakteristischen steganografischen PNG-Nutzlasten und COM-Hijack-Registry-Einträgen. Blockieren Sie alle Filen.io Subdomains und die wellnesscaremed.com Domain, und wenden Sie auf IOCs basierende Erkennung und Blockierung für die identifizierten Dateinamen und geplante Aufgaben an.

Reaktion

Organisationen sollten CVE-2026-21509 und CVE-2026-21513 unverzüglich patchen, den Zugriff auf nicht genehmigte Cloud-Speicherdienste einschränken und das Shell.Explorer.1-COM-Objekt über die Registry deaktivieren. Verteidiger sollten Makrobeschränkungen durchsetzen, COM-Registrierung unter überwachen HKCU\Software\Classes\CLSID, und verdächtige geplante Aufgaben wie OneDriveHealth überprüfen. ETW-Protokollierung sollte ebenfalls aktiviert werden, um unerwartete CLR-Ladungen in explorer.exe.

Minderung

Forscher bei TrendAI identifizierten die PRISMEX-Tool-Komponenten — PrismexSheet, PrismexDrop, PrismexLoader und PrismexStager — und verknüpften sie mit früheren Pawn Storm-Aktivitäten. Sie fanden Hinweise darauf, dass die Angreifer Wochen vor der öffentlichen Offenlegung der Schwachstellen Infrastruktur vorbereiteten und den Einsatz einer gemeinsamen C2-Domain dokumentierten, wellnesscaremed.com. Die Forschung kartierte auch die MITRE ATT&CK-Techniken, die während der gesamten Angriffsverlaufskette verwendet wurden.

Untersuchung

Pawn Storm (APT28) hat eine Kampagne mit einem neuen Malware-Toolkit namens PRISMEX gestartet, das die ukrainische Verteidigungsnachschubkette sowie verbündete Regierungs- und Logistikorganisationen ins Visier nimmt. Der Betrieb nutzt zwei kürzlich offengelegte Zero-Day-Schwachstellen aus, CVE-2026-21509 und CVE-2026-21513, während legitime Cloud-Plattformen für Command and Control missbraucht werden. Das Toolkit umfasst steganografische Loader, COM-Hijacking für Persistenz und einen Covenant Grunt Stager, der auf Filen.iogehostet wird. Die Erkennung bleibt aufgrund von dateiloser Ausführung und verschlüsseltem Netzwerkverkehr herausfordernd.

Simulationsausführung

Voraussetzung: Die Telemetrie- und Basislinien-Vorabprüfung muss bestanden sein.

Begründung: Dieser Abschnitt beschreibt die genaue Ausführung der gegnerischen Technik (TTP), die darauf abzielt, die Erkennungsregel auszulösen. Die Befehle und das Narrativ MÜSSEN direkt die identifizierten TTPs widerspiegeln und darauf abzielen, die genaue Telemetrie zu erzeugen, die die Erkennungslogik erwartet. Abstrakte oder nicht zusammenhängende Beispiele führen zu Fehldiagnosen.

• Angriffserzählung & Befehle:

  1. Der Angreifer hat eine bösartige DLL beschafft (evil.dll) an einem beschreibbaren Verzeichnis platziert (z. B., C:Tempevil.dll).
  2. Um Persistenz zu erreichen, wählen sie den CLSID {68DDBB56-9D1D-4FD9-89C5-C0DA2A625392} (einer der von der Regel verfolgten GUIDs).
  3. Verwenden des integrierten reg.exe (oder PowerShell), setzen sie den Standardwert der InProcServer32 -Unterschlüssel auf den Pfad der bösartigen DLL, wodurch jede COM-Aktivierung dieses CLSID gehijackt wird.
  4. Die Registry-Änderung erzeugt einen Eintrag EventID 13 mit der genauen TargetObject , das der Erkennungsregel entspricht.

• Regressionstest-Skript:

  # -------------------------------------------------
  # PrismexSheet COM Hijacking Persistenz-Simulation
  # -------------------------------------------------
  $guid = '{68DDBB56-9D1D-4FD9-89C5-C0DA2A625392}'
  $dllPath = "C:Tempevil.dll"
  
  # Stellen Sie sicher, dass die bösartige DLL vorhanden ist (Platzhalter für Test)
  if (-not (Test-Path $dllPath)) {
      New-Item -Path $dllPath -ItemType File -Force | Out-Null
      Set-Content -Path $dllPath -Value "Platzhalter für bösartige Nutzlast"
  }
  
  $regPath = "HKCU:SoftwareClassesCLSID$guidInProcServer32"
  
  # Erstellen Sie den Schlüssel, falls er nicht existiert
  New-Item -Path $regPath -Force | Out-Null
  
  # Setzen Sie den Standardwert, um auf die bösartige DLL zu verweisen
  Set-ItemProperty -Path $regPath -Name '(Standard)' -Value $dllPath
  
  Write-Host "COM Hijack bei $regPath -> $dllPath beibehalten"

• Aufräumbefehle:

  # Entfernen der bösartigen COM-Registrierung
  $guid = '{68DDBB56-9D1D-4FD9-89C5-C0DA2A625392}'
  $regPath = "HKCU:SoftwareClassesCLSID$guid"
  Remove-Item -Path $regPath -Recurse -Force
  
  # Löschen der Dummy-DLL
  Remove-Item -Path "C:Tempevil.dll" -Force -ErrorAction SilentlyContinue
  
  Write-Host "Bereinigung abgeschlossen."