Resoker RAT nutzt Telegram für Kommando und Kontrolle

Ruslan Mikhalov Leiter der Bedrohungsforschung bei SOC Prime

Folgen

Resoker RAT nutzt Telegram für Kommando und Kontrolle

Detection stack

AIDR
Alert
ETL
Query

Bedrohungsbericht
Angriffsablauf
Erkennungen
Simulationen

Zusammenfassung

ResokerRAT ist ein neu identifizierter Remote-Access-Trojaner, der die Telegram Bot API für Command-and-Control verwendet. Er bleibt über einen Run-Registrierungseintrag bestehen und verfügt über Funktionen zur Erhöhung der Privilegien, zum Erfassen von Screenshots, zum Blockieren des Task-Managers und zum Abschwächen der UAC-Kontrollen. Um die Sichtbarkeit zu reduzieren, führt er PowerShell in einem versteckten Fenster aus und versucht, allgemeine Analysetools zu beenden. Die Erkennung kann auf seinem Mutex, wesentlichen Registrierungsänderungen und Telegram-basierten C2-Aktivitäten basieren.

Untersuchung

Die Analyse von Resoker hebt die Erstellung von Mutexen, Anti-Debug-Logik und aggressive Prozessbeendigungen hervor, die auf Sicherheits- und Analysewerkzeuge abzielen. Die Malware setzt einen Keyboard-Hook, akzeptiert eine bestimmte Anzahl von über Telegram übermittelten Befehlen und ändert Registrierungswerte, um den Task-Manager zu deaktivieren und das UAC-Verhalten zu lockern. Durch verdeckte PowerShell-Ausführung können Folge-Payloads abgerufen werden, um die modulare Erweiterung nach dem ersten Kompromiss zu unterstützen.

Minderung

Überwachen Sie den bekannten Mutex und alarmieren Sie bei Registrierungsänderungen, die mit DisableTaskMgr und UAC-bezogenen Schlüsseln verbunden sind. Beschränken oder blockieren Sie ausgehenden Zugriff auf Telegram API-Endpunkte, wo dies möglich ist, und erzwingen Sie die Anwendungskontrolle, um nicht autorisierte PowerShell-Ausführungen zu verhindern. Hostbasierte Erkennungen, die Keyboard-Hook-Verhalten und verdächtige PowerShell-Aktivitäten in versteckten Fenstern kennzeichnen, können die Auswirkungen weiter reduzieren.

Antwort

Wenn erkannt, isolieren Sie den Host, stoppen Sie den bösartigen Prozess und entfernen Sie den Run-Key-Persistenzeintrag. Bewahren Sie flüchtige Beweise (Mutex-Wert, Telegram-Bot/C2-Indikatoren, Befehlszeilentelemetrie) auf und führen Sie eine umfassende forensische Untersuchung auf zusätzliche Payloads oder Persistenz durch. Stellen Sie Registrierungsänderungen, die den Task-Manager und UAC betreffen, zurück, ändern Sie exponierte Anmeldeinformationen, falls Diebstahl vermutet wird, und wenden Sie wieder am wenigsten privilegierte Ausführungsrichtlinien an, um eine Wiederholung zu verhindern.

"graph TB %% Klassendefinitionen classDef action fill:#ffcc99 classDef technique fill:#99ccff classDef persistence fill:#ffd699 classDef command_and_control fill:#ffdd99 %% Knotendefinitionen action_execution["Aktion – T1059.001 PowerShell: Versteckten PowerShell-Befehl über Resoker.exe ausführen Technik: Verwenden Sie PowerShell, um Befehle auszuführen"] class action_execution action tech_hide_window["Technik – T1564.003 Verstecktes Fenster: Befehl im versteckten Fenster ausführen, um die Benutzersichtbarkeit zu umgehen"] class tech_hide_window technique action_process_enum["Aktion – T1057 Prozessentdeckung: Laufende Prozesse enumerieren und Analysetools beenden"] class action_process_enum action action_keylogging["Aktion – T1056.001 Keylogging: Globalen Low-Level-Keyboard-Hook installieren, um Eingaben zu erfassen"] class action_keylogging action persistence_run_key["Persistenz – T1037.005 Registry Run Keys: HKCU Run-Registrierungseintrag für Autostart erstellen"] class persistence_run_key persistence defense_disable_taskmgr["Technik – T1562.001 Task-Manager deaktivieren: Registrierungswert DisableTaskMgr auf 1 setzen"] class defense_disable_taskmgr technique action_screen_capture["Aktion – T1113 Bildschirmaufnahme: Bildschirm über PowerShell erfassen und PNG-Dateien speichern"] class action_screen_capture action action_download["Aktion – T1059.001 PowerShell und T1202 Indirekte Befehlsausführung: Zusätzliche Dateien mit versteckten PowerShell-Befehlen herunterladen"] class action_download action c2_telegram["Command and Control – T1102.002 Webdienst und T1102.003 Einweg-Nachrichten: Kommunikation mit Angreifer über Telegram Bot API über HTTPS"] class c2_telegram command_and_control %% Verbindungen, die den Angriffsfluss zeigen action_execution –>|verwendet| tech_hide_window action_execution –>|löst aus| action_process_enum action_process_enum –>|beendet| action_keylogging action_process_enum –>|etabliert| persistence_run_key persistence_run_key –>|härtet| defense_disable_taskmgr action_process_enum –>|ermöglicht| action_screen_capture action_screen_capture –>|aufruft| action_download action_download –>|exfiltriert über| c2_telegram "

Angriffsfluss

Angriffserzählung & Befehle:
Ein Angreifer, der einen Fuß in einer Windows-Arbeitsstation gefasst hat, möchte den Desktop des Benutzers erfassen, ohne visuelle Hinweise zu geben. Er startet PowerShell mit dem -WindowStyle Hidden Schalter, lädt die .NET System.Windows.Forms and System.Drawing Assemblies, erfasst den primären Bildschirm mit der CopyFromScreen Methode und schreibt das Bitmap in eine temporäre Datei. Der Befehl wird in einer einzigen Zeile gestaltet, um sicherzustellen, dass der vollständige String im PowerShell Script Block Log erscheint und alle vier Erkennungsauswahlen übereinstimmen.

Regressionstest-Skript:

# Stille Bildschirmaufnahme – reproduziert die Erkennungstelemetrie
$psCommand = @"
Add-Type -AssemblyName System.Windows.Forms
Add-Type -AssemblyName System.Drawing
$bounds = [System.Windows.Forms.Screen]::PrimaryScreen.Bounds
$bitmap = New-Object System.Drawing.Bitmap $bounds.Width, $bounds.Height
$graphics = [System.Drawing.Graphics]::FromImage($bitmap)
$graphics.CopyFromScreen($bounds.Location, [System.Drawing.Point]::Empty, $bounds.Size)
$output = "C:Tempscreenshot.png"
$bitmap.Save($output, [System.Drawing.Imaging.ImageFormat]::Png)
Write-Host "Screenshot gespeichert nach $output"
"@

# Führen Sie PowerShell mit dem zusammengesetzten Befehl im stillen Modus aus
powershell -WindowStyle Hidden -Command $psCommand

Cleanup-Befehle:

# Entfernen Sie den Screenshot und alle verbleibenden Objekte
Remove-Item -Path "C:Tempscreenshot.png" -ErrorAction SilentlyContinue

Treten Sie der Detection as Code-Plattform von SOC Prime bei um die Sichtbarkeit der für Ihr Unternehmen relevantesten Bedrohungen zu verbessern. Um Ihnen den Einstieg zu erleichtern und unmittelbaren Mehrwert zu erzielen, buchen Sie jetzt ein Treffen mit den Experten von SOC Prime.

Kostenlos beitreten