Geschäftssuche APT & Zielgerichtete Angriffe im Schatten von Shadow-Earth-053: Eine China-ausgerichtete Cyber-Spionagekampagne gegen Regierungs- und Verteidigungssektoren in Asien

Ruslan Mikhalov Leiter der Bedrohungsforschung bei SOC Prime

Folgen

Geschäftssuche APT & Zielgerichtete Angriffe im Schatten von Shadow-Earth-053: Eine China-ausgerichtete Cyber-Spionagekampagne gegen Regierungs- und Verteidigungssektoren in Asien

Detection stack

AIDR
Alert
ETL
Query

Bedrohungsbericht
Angriffsablauf
Erkennungen
Simulationen

Zusammenfassung

Ein China-ausgerichteter Bedrohungscluster, der als SHADOW-EARTH-053 nachverfolgt wird, hat ungepatchte Microsoft Exchange- und IIS-Server mit der ProxyLogon-Schwachstellenkette ausgenutzt, um Web-Shells zu installieren und die Malware-Familie ShadowPad zu installieren. Die Gruppe verlässt sich auf DLL-Sideloading durch legitime, signierte Binärdateien, registrierungsbasierte Payload-Ausführung und mehrere Tunneling-Tools, um heimlichen Kommando- und Kontrollzugang zu bewahren. Beobachtete Opfer umfassen Regierungsministerien, verteidigungsnahe Auftragnehmer und Transportunternehmen in mehreren asiatischen Ländern sowie einem NATO-Mitgliedsstaat. Die Aktivität hebt die anhaltende Gefahr hervor, die von älteren Exchange-Schwachstellen in Verbindung mit ausgereifter Post-Compromise-Technik ausgeht.

Untersuchung

Forscher dokumentierten die Bereitstellung von Web-Shells mit Dateinamen wie error.aspx and tunnel.ashx in üblichen IIS-Verzeichnissen, gefolgt von der Lieferung von ShadowPad durch DLL-Sideloading mit vertrauenswürdigen ausführbaren Dateien wie runtimebroker.exe. Sie identifizierten auch zusätzliche Hintertüren, einschließlich mdync.exe, die mit externer Infrastruktur kommunizieren, während Tunneling-Tools wie GOST, Wstunnel und code.exe in C:UsersPublicstaged wurden. Aktivität zum Diebstahl von Anmeldeinformationen umfasste Mimikatz und benutzerdefinierte Dienstprogramme wie Evil-CreateDump and newdcsync, die über den IIS-Arbeitsprozess ausgeführt wurden. Persistenz wurde durch Registrierungsänderungen wie LocalAccountTokenFilterPolicy und geplante Aufgaben wie M1onltor.

Minderung

Organisationen sollten alle verfügbaren Sicherheitsupdates für Microsoft Exchange Server und IIS anwenden, wobei den ProxyLogon-bezogenen CVEs Priorität eingeräumt werden sollte. Webanwendungsfirewalls oder Intrusion Prevention Controls sollten so konfiguriert werden, dass Exploit-Versuche vor der Ausführung blockiert werden. Verteidiger sollten auch die Überwachung der Dateiintegrität in webbezogenen Verzeichnissen durchsetzen und die unautorisierte Erstellung von .aspx, .ashx, oder .jsp -Dateien verhindern. Weitere Härtungsschritte umfassen die Einschränkung der IIS-Prozessberechtigungen, die Reduzierung des Schreibzugriffs, die Überwachung von Unterprozessen, die von w3wp.exegestartet werden, die Deaktivierung ungenutzter Dienste und die Anwendung von Anwendungs-Whitelisting auf kritischen Servern.

Reaktion

Sicherheitsteams sollten auf das Auftreten unbekannter .aspx or .ashx -Dateien innerhalb von IIS-Pfaden und auf geplante Aufgaben mit Namen M1onltorachten. Die Erkennung sollte auch die Ausführung von Tools wie Mimikatz und PowerView sowie DLL-Sideloading-Aktivitäten mit signierten Binärdateien einschließen. Ausgehende Kommunikation zu den identifizierten bösartigen IP-Adressen und der Domain check[.]office365-update[.]com sollte sofort blockiert werden. Vorfallsreakteure sollten dann eine forensische Überprüfung verdächtiger Werte unter HKEY_CURRENT_USERSoftware durchführen und unautorisierte geplante Aufgaben oder Persistenzartefakte entfernen.

"graph TB %% Abschnitt mit Klassendefinitionen classDef technique fill:#99ccff classDef operator fill:#ff9900 %% Knotendefinitionen tech_exploit_pf["Technik – T1190 Öffentlich verfügbare Anwendung ausnutzen Gegner nutzen Schwachstellen in öffentlich zugänglichen Anwendungen aus, um einen ersten Zugang zu erhalten."] class tech_exploit_pf technique tech_webshell["Technik – T1505.003 Serversoftware-Komponente Web Shell Gegner installieren eine Web-Shell auf einem kompromittierten Server, um persistenten Zugang zu bewahren."] class tech_webshell technique tech_code_sign["Technik – T1553.002 Vertrauensteuerungen durch Code-Signierung unterlaufen Gegner sideloaden signierte DLLs, um bösartigen Code auszuführen und dabei vertrauenswürdig zu erscheinen."] class tech_code_sign technique tech_masquerade["Technik – T1036 Maskierung Gegner benennen Dienstprogramme um und packen sie mit Tools wie RingQ, damit sie legitim aussehen."] class tech_masquerade technique tech_cred_dump["Technik – T1003 Betriebssystem-Zugangsdatenentnahme Gegner erhalten Zugangsdaten aus dem Betriebssystem mit Tools wie Mimikatz, Evil CreateDump oder DCSync."] class tech_cred_dump technique tech_account_manip["Technik – T1098.002 Kontomanipulation E-Mail-Delegiertenberechtigungen Gegner fügen sich selber als Delegierte in Opfermailboxen hinzu, um E-Mails zu lesen und zu senden."] class tech_account_manip technique tech_exploit_remote["Technik – T1210 Ausnutzung von Fernzugriffsdiensten Gegner verwenden WMIC oder SMBExec, um Befehle auf entfernten Hosts für seitliche Bewegungen auszuführen."] class tech_exploit_remote technique tech_proxy["Technik – T1090 Proxy Gegner verwenden Proxy-Tools wie GOST, Wstunnel oder Tunnel-Toolkerne, um Verkehr durch mehrere Hops zu leiten."] class tech_proxy technique tech_tunnel["Technik – T1572 Protokoll-Tunneling Gegner tunneln Verkehr über SOCKS5- oder HTTPS-Protokolle, um mit Kommandound Kontrolle zu kommunizieren."] class tech_tunnel technique tech_email_collect["Technik – T1114 E-Mail-Sammlung Gegner sammeln E-Mail-Daten von Exchange-Servern unter Verwendung von Exchange Web Services-APIs."] class tech_email_collect technique tech_archive["Technik – T1567.001 Archiv gesammelter Daten Gegner komprimieren gestohlene Daten in einem passwortgeschützten RAR-Archiv zur Exfiltration."] class tech_archive technique %% Verbindungen des Flusses zeigen tech_exploit_pf –>|führt zu| tech_webshell tech_webshell –>|verwendet| tech_code_sign tech_webshell –>|verwendet| tech_masquerade tech_webshell –>|ermöglicht| tech_cred_dump tech_cred_dump –>|ermöglicht| tech_account_manip tech_webshell –>|ermöglicht| tech_exploit_remote tech_exploit_remote –>|ermöglicht| tech_proxy tech_proxy –>|ermöglicht| tech_tunnel tech_webshell –>|ermöglicht| tech_email_collect tech_email_collect –>|führt zu| tech_archive "

Angriffsfluss

Angriffserzählung & Befehle:
Ein Angreifer hat ein benutzerdefiniertes Tunneling-Binary (z.B. tunnel.exe) auf dem kompromittierten Host erhalten. Um eine Erkennung während des Initialdownloads zu vermeiden, wird das Binary in C:ProgramDatagestaged, ein Verzeichnis, das häufig von Standardbenutzern beschreibbar ist und häufig für legitime Installationen verwendet wird. Nach dem Staging wird der Angreifer das Tool später ausführen, um einen verdeckten Kanal zu etablieren. Der Staging-Schritt wird mit PowerShell’s Copy-Itemdurchgeführt, was ein Datei-Erstellungsereignis erzeugt, das den Pfadkriterien der Erkennungsregel entspricht.

Regressionstest-Skript:

# Simulation der Tool-Staging in einem überwachten Verzeichnis
$stagingPath = "C:ProgramData	unnel.exe"
$payload = [IO.Path]::GetTempFileName()
# Erstelle ein Dummy-Binary (zufällige Bytes), um ein echtes Tool zu imitieren
$rand = New-Object byte[] 1024
(New-Object System.Random).NextBytes($rand)
Set-Content -Path $payload -Value $rand -Encoding Byte -Force

# Kopiere das Dummy-Binary an den Staging-Standort
Copy-Item -Path $payload -Destination $stagingPath -Force

# Ausgabe zur manuellen Überprüfung
Write-Host "Staged dummy tunneling tool at $stagingPath"

Bereinigungskommandos:

# Entferne die gestagete Datei und die temporäre Nutzlast
Remove-Item -Path "C:ProgramData	unnel.exe" -Force -ErrorAction SilentlyContinue
Remove-Item -Path $payload -Force -ErrorAction SilentlyContinue
Write-Host "Bereinigung abgeschlossen."

Treten Sie der Detection as Code-Plattform von SOC Prime bei um die Sichtbarkeit der für Ihr Unternehmen relevantesten Bedrohungen zu verbessern. Um Ihnen den Einstieg zu erleichtern und unmittelbaren Mehrwert zu erzielen, buchen Sie jetzt ein Treffen mit den Experten von SOC Prime.

Kostenlos beitreten