PoisonX-Treiber-basierte Angriffskampagne zielt auf japanische Organisationen ab

Zusammenfassung

Eine Kampagne, die im April 2026 beobachtet wurde, nutzte Spear-Phishing-E-Mails mit bösartigen LNK-Dateien oder ausführbaren Downloads, die auf Google Cloud Storage gehostet wurden. Die zugestellte Nutzlast installierte einen Kernel-Treiber namens PoisonX zusammen mit einem modularen RAT namens 10FXRAT, wodurch die Angreifer Kernel-Privilegien erlangten, Sicherheitswerkzeuge deaktivierten und bösartige Aktivitäten verschleierten. Spätere Varianten adoptierten auch BYOVD-Taktiken durch legitime signierte Treiber wie EneIo64.sys and procexp.sys. Die Aktivitäten wurden beobachtet, wie sie auf Organisationen in Japan und China abzielten.

Untersuchung

Der Bericht geht die gesamte Ausführungskette durch, beginnend mit einem LNK-basierten Downloader, der curl.exeaufruft, und sich dann zu PXDropper-Komponenten bewegt, die den PoisonX-Treiber und 10FXRAT-Module bereitstellen. Es werden auch die treiberbasierten IOCTL-Routinen beschrieben, die verwendet werden, um sicherheitsbezogene Prozesse zu beenden und Netzwerkverkehr zu verbergen. Forscher dokumentierten Anti-Analyse-Checks, Registrierungsänderungen, Serviceerstellung und Persistenzmethoden und listeten fest codierte Command-and-Control-IP-Adressen auf, die mit der Operation in Verbindung stehen.

Abwehr

Verteidiger sollten die Installation unerwarteter Treiberaktivitäten überwachen, insbesondere solcher, die unsigniert oder verdächtig signiert sind, sowie die Erstellung von Diensten mit zufälligen HID-ähnlichen Dateinamen. Die Erkennung sollte auch Registrierungsänderungen abdecken, die Microsoft Defender-Ausschlüsse hinzufügen oder Defender-Dienste deaktivieren. Ausgehender Datenverkehr zu den identifizierten Command-and-Control-IP-Bereichen sollte blockiert werden, und Netzüberwachung sollte nach dem 0x58463031 Magischen Wert in TCP-Nutzlasten suchen.

Reaktion

Wenn diese Aktivitäten entdeckt werden, isolieren Sie den betroffenen Endpunkt sofort, entladen Sie den PoisonX-Treiber, wo möglich, und beenden Sie alle 10FXRAT-Prozesse. Stellen Sie geänderte Registrierungseinstellungen wieder her, aktivieren Sie Microsoft Defender-Schutzmechanismen erneut und ersetzen Sie modifizierte Dateien durch saubere Versionen aus vertrauenswürdigen Quellen. Eine vollständige forensische Untersuchung sollte dann durchgeführt werden, um Persistenzmechanismen zu identifizieren und den Datenverkehr zu den bekannten Command-and-Control-Servern zu überprüfen.

Simulation Ausführung

Voraussetzung: Die Telemetrie- & Baseline-Vorflugprüfung muss bestanden sein.

Begründung: Dieser Abschnitt beschreibt die genaue Ausführung der gegnerischen Technik (TTP), die entwickelt wurde, um die Erkennungsregel auszulösen. Die Befehle und Erzählung MÜSSEN direkt die identifizierten TTPs widerspiegeln und darauf abzielen, die genaue Telemetrie zu generieren, die von der Erkennungslogik erwartet wird.

• Angriffserzählung & Befehle:
  Der Angreifer injiziert zuerst einen benutzerdefinierten Shellcode-Payload in usoclient64.exe um einen vertrauenswürdigen Prozess-Fuß zu fassen (T1574.009). Mit dem gehijackten Prozess führen sie einen PowerShell-One-Liner aus, der den bösartigen Nutzlastordner zur Ausschlussliste von Windows Defender hinzufügt (T1564.012). Schließlich deaktivieren sie Kern-Sicherheitsdienste mit einem cmd.exe Aufruf, der Windows Defender, Windows Security Center und jegliche Drittanbieter-AV stoppt (T1547.001 Persistenz durch Dienstunterbrechung).

  1. Prozesshollowing / Injektion – simulieren Sie, indem sie usoclient64.exe mit einem PowerShell-Skript, das schläft (repräsentiert injizierten Code), starten.
  2. Defender-Ausschluss hinzufügen – PowerShell-Befehl, der genau mit der Regel übereinstimmt.
  3. Sicherheitsdienste stoppen – cmd.exe Einzeiler, der die Dienste stoppt.

• Regressions-Testskript:

  # -------------------------------------------------------------------------
  # Simulationsskript – löst die Sigma-Regel für 10FXRAT-ähnliches Verhalten aus
  # -------------------------------------------------------------------------
  
  # 1. Simulieren Sie in einer usoclient64.exe-Injektion (Prozess-Hollowing-Platzhalter)
  $usoclient = "$env:SystemRootSystem32usoclient64.exe"
  Write-Host "[*] Starten von usoclient64.exe (simulierte Injektion)..."
  Start-Process -FilePath $usoclient -ArgumentList "/RunDll32" -WindowStyle Hidden
  
  # 2. PowerShell-Befehl, der einen Defender-Ausschluss hinzufügt (entspricht Regel)
  Write-Host "[*] Hinzufügen des Windows Defender-Ausschlusspfads..."
  powershell.exe -NoP -NonI -W Hidden -C "Add-MpPreference -ExclusionPath 'C:TempMalicious'"
  
  # 3. Deaktivieren von Sicherheitsdiensten über cmd (entspricht Regel)
  Write-Host "[*] Sicherheitsdienste werden gestoppt..."
  cmd.exe /c "net stop WinDefend /y >nul 2>&1 & net stop wscsvc /y >nul 2>&1 & net stop Sense /y >nul 2>&1"
  
  Write-Host "[+] Simulation abgeschlossen. Überprüfen Sie Warnmeldungen im SIEM."

• Bereinigungsbefehle:

  # -------------------------------------------------------------------------
  # Bereinigung – stellt normale Sicherheitslage wieder her
  # -------------------------------------------------------------------------
  
  # Entfernen Sie den Defender-Ausschluss
  powershell.exe -NoP -NonI -W Hidden -C "Remove-MpPreference -ExclusionPath 'C:TempMalicious'"
  
  # Neustart der gestoppten Dienste
  cmd.exe /c "net start WinDefend >nul 2>&1 & net start wscsvc >nul 2>&1 & net start Sense >nul 2>&1"
  
  # Optional: Beenden Sie die injizierte usoclient64.exe-Instanz
  Get-Process -Name usoclient64 -ErrorAction SilentlyContinue | Stop-Process -Force
  
  Write-Host "[+] Bereinigung abgeschlossen."