Qilin EDR-Killer-Infektionskette

Zusammenfassung

Der Bericht behandelt einen mehrstufigen Loader, der als trojanisierte msimg32.dll geliefert wird, um über 300 Endpoint-Detection-and-Response-Produkte zu deaktivieren oder zu entfernen. Der Loader kombiniert fortgeschrittenen SEH/VEH-Missbrauch, Kernel-Treiber-Techniken und Hardware-Breakpoints, um User-Mode-Hooks zu umgehen und Sicherheitsprozesse zu beenden. Die Aktivität wird mit dem Qilin-Ransomware-Ökosystem in Verbindung gebracht und wird mit einem benutzerdefinierten Treiber geliefert, der aus dem ThrottleStop-Tooling abgeleitet ist. Das Endergebnis ist eine dedizierte EDR-Killer-Nutzlast, die Sicherheitsdienste beendet und die Kontrolle des Angreifers wiederherstellen kann, indem sie die Callback-Logik zur Codeintegrität wiederherstellt oder neutralisiert.

Untersuchung

Forscher haben die bösartige DLL, ihren PE-Loader und zwei Hilfstreiber, rwdrv.sys und hlpdrv.sys, rückentwickelt. Die Analyse beschreibt, wie der Loader eine Syscall-Slot-Policy-Tabelle aufbaut, den Ausnahme-Dispatcher manipuliert und IAT-Hooking einsetzt, um die Ausführung umzuleiten. Anschließend wird ein payload auf Basis von vectored exception handling inszeniert und gestartet. Die Treiberschicht bietet Zugriff auf den physischen Speicher und wird genutzt, um EDR-bezogene Kernel-Callbacks zu entfernen oder zu deaktivieren sowie geschützte Prozesse über eine benutzerdefinierte IOCTL-Schnittstelle zu beenden.

Abschwächung

Halten Sie Verteidigungen auf mehreren Ebenen bereit und vermeiden Sie die Abhängigkeit von einer einzigen EDR-Kontrolle. Überwachen Sie verdächtige Treiberladeaktivitäten, ungewöhnliche physische Speicher-IOCTL-Nutzung und unerwartete Änderungen an Kernel-Callback-Strukturen. Verhindern Sie DLL-Side-Loading, bei dem Angreifer legitime Systembibliotheken ersetzen, und erweitern Sie die Abdeckung für Evasion-Techniken im Hardware-Breakpoint-Stil. Halten Sie Netzwerk- und Endpoint-Signaturen aktuell, einschließlich Regelwerke von Tools wie ClamAV und Snort.

Reaktion

Bei Erkennung isolieren Sie den Endpunkt, stoppen den bösartigen Prozess und entladen verdächtige Treiber. Erfassen Sie vollständige Speicherabbilder für forensische Untersuchungen, überprüfen Sie explizit rwdrv.sys und hlpdrv.sys und validieren die Integrität der Kernel-Callbacks sowie der zugehörigen Sicherheits-Telemetrie. Setzen Sie aktuelle Erkennungen für den Dateinamen msimg32.dll, Treiberladen-Ereignisse und das Muster IOCTL 0x2222008 ein. Führen Sie eine Überprüfung der Systemintegrität durch und stellen Sie gegebenenfalls von vertrauenswürdigen Sicherungskopien wieder her, wenn das Vertrauen in das System nicht wiederhergestellt werden kann.

Ausführung der Simulation

Voraussetzung: Der Telemetrie- und Basisstart-Check muss bestanden sein.

Begründung: In diesem Abschnitt wird die präzise Ausführung der Angreifertechnik (TTP) beschrieben, die vorgesehen ist, um die Erkennungsregel auszulösen. Die Befehle und das Narrativ MÜSSEN direkt die identifizierten TTPs widerspiegeln und darauf abzielen, die genaue Telemetrie zu generieren, die durch die Erkennungslogik erwartet wird.

• Angriffs-Narration & Befehle:

  Ein Angreifer erstellt eine minimale native C-Binärdatei, die explizit ntdll.dll lädt und NtTraceEvent über seinen exportierten Namen aufruft. Die Binärdatei wird auf dem Zielhost mit den Visual C++ Build Tools kompiliert und dann ausgeführt. Da der Aufruf über die reguläre Windows-API-Oberfläche erfolgt, zeichnet das Ereignis der Prozesserstellung das Bild (ntdll.dll) auf und das Feld CallTrace enthält den String „NtTraceEvent“, was die Sigma-Bedingung erfüllt. Der Angreifer löscht anschließend die Binärdatei, um forensische Artefakte zu reduzieren.

• Regressionstest-Skript:

  # ---------------------------------------------------------
  # Schritt 1 – Erstellen Sie eine temporäre C-Quelle, die NtTraceEvent aufruft
  # ---------------------------------------------------------
  $src = @"
  #include <windows.h>
  typedef NTSTATUS (NTAPI *pNtTraceEvent)(HANDLE, ULONG, PVOID, ULONG);
  int main() {
      HMODULE hNtdll = LoadLibraryA("ntdll.dll");
      if (!hNtdll) return 1;
      pNtTraceEvent NtTraceEvent = (pNtTraceEvent)GetProcAddress(hNtdll, "NtTraceEvent");
      if (!NtTraceEvent) return 1;
      // Minimaler Aufruf – Argumente werden für dieses Demo größtenteils ignoriert
      NtTraceEvent(NULL, 0, NULL, 0);
      return 0;
  }
  "@
  $tmpPath = "$env:TEMPNtTraceDemo.c"
  $exePath = "$env:TEMPNtTraceDemo.exe"
  $src | Set-Content -Path $tmpPath -Encoding ASCII
  
  # ---------------------------------------------------------
  # Schritt 2 – Kompilieren mit cl.exe (setzt Visual C++ Build Tools voraus)
  # ---------------------------------------------------------
  $vcVars = "$env:ProgramFiles(x86)Microsoft Visual Studio2019BuildToolsVCAuxiliaryBuildvcvars64.bat"
  if (Test-Path $vcVars) {
      & cmd /c "`"$vcVars`" && cl /nologo /O2 /Fe:`"$exePath`" `"$tmpPath`""
  } else {
      Write-Error "Visual C++ Build Tools nicht gefunden. Installieren Sie diese vor dem Ausführen dieses Skripts."
      exit 1
  }
  
  # ---------------------------------------------------------
  # Schritt 3 – Führen Sie die Binärdatei aus (dies sollte die Regel auslösen)
  # ---------------------------------------------------------
  & $exePath
  
  # ---------------------------------------------------------
  # Schritt 4 – Bereinigen von Artefakten
  # ---------------------------------------------------------
  Remove-Item -Force $tmpPath, $exePath

• Bereinigungsbefehle:

  # Stellen Sie sicher, dass verbleibende Dateien entfernt werden (als Admin ausführen)
  Get-ChildItem "$env:TEMPNtTraceDemo.*" -ErrorAction SilentlyContinue | Remove-Item -Force