SmartApeSG-Kampagne verbreitet Remcos RAT, NetSupport RAT, StealC und Sectop RAT (ArechClient2)

Zusammenfassung

Die SmartApeSG-Kampagne basiert auf einer gefälschten CAPTCHA-Seite, kombiniert mit einem ClickFix-Skript, um mehrere Fernzugriffsdrohungen zu verteilen, darunter Remcos RAT, NetSupport RAT, StealC und Sectop RAT. Die anfängliche Kompromittierung löst eine gestaffelte Infektionskette aus, bei der jedes Schadprogramm seinen eigenen Kommando- und Kontrollserver kontaktiert. Die Verteilung erfolgt über Archivdateien, die DLL-Side-Loading ausnutzen, um die Malware zu starten. Der Bericht enthält auch unterstützende Indikatoren wie Domänen, IP-Adressen, Dateipfade und Datei-Hashes.

Untersuchung

Der Analyst zeichnete zunächst um 17:11 UTC Verkehr vom ClickFix-Skript auf, wobei die Kommunikation von Remcos RAT eine Minute später um 17:12 UTC begann. Der Verkehr von NetSupport RAT trat vier Minuten später auf, StealC wurde etwa eine Stunde später beobachtet, und Sectop RAT erschien etwa eine Stunde und achtzehn Minuten nach StealC. Ermittler stellten Dateiartefakte sowohl aus Benutzer- als auch Systemverzeichnissen wieder her und ordneten sie den spezifisch in der Kette verwendeten bösartigen Archiven zu.

Minderung

Verteidiger sollten die bekannten bösartigen Domänen und IP-Adressen blockieren, während sie auf die Ausführung von HTA-Dateien und verdächtigen Archivextraktionen in Benutzerprofilpfaden achten. Browser- und E-Mail-Schutzmaßnahmen sollten verstärkt werden, um die Exposition gegenüber Click-Jacking und gefälschter CAPTCHA-Auslieferung zu reduzieren. Endpunkterkennungsregeln sollten auch abgestimmt werden, um DLL-Side-Loading-Verhalten und unerwartete RAT-Prozesse zu identifizieren.

Reaktion

Wenn einer der aufgeführten Indikatoren gefunden wird, isolieren Sie den betroffenen Host, stoppen Sie bösartige Prozesse und sammeln Sie Speicher- und Disk-Images für die forensische Analyse. Führen Sie eine umfassende IOC-Suche in der gesamten Umgebung durch, aktualisieren Sie die Firewall-Steuerung, um die identifizierten C2-Endpunkte zu blockieren, und setzen Sie alle potenziell kompromittierten Anmeldeinformationen zurück.

Simulation Ausführung

Voraussetzung: Der Telemetrie- und Baseline-Pre-Flight-Check muss bestanden haben.

Begründung: Dieser Abschnitt beschreibt die genaue Ausführung der gegnerischen Technik (TTP), die zur Auslösung der Erkennungsregel entwickelt wurde. Die Befehle und Erzählungen MÜSSEN direkt die identifizierten TTPs widerspiegeln und darauf abzielen, die genaue Telemetrie zu generieren, die von der Erkennungslogik erwartet wird.

Angreifer erzählerisch & Befehle

Der Gegner, der auf der betroffenen Workstation Fuß gefasst hat, startet die Remcos RAT-Komponente der SmartApeSG-Kampagne. Der RAT ist konfiguriert, um 95.142.45.231:443 als primäre C2-Endpunkt zu verwenden. Es löst zuerst die eingebettete Domain auf fresicrto.top (Fallback) und öffnet dann einen dauerhaften HTTPS-Tunnel zu der IP-Adresse. Der Datenverkehr wird von remcos.exe über die Windows WinHTTP-API generiert, die ein Sysmon NetworkConnect-Ereignis und einen Windows-Firewall-Logeintrag erzeugt.

Schritte:

1. Lassen Sie die RAT-Binärdatei fallen (remcos.exe) in %TEMP%.
2. Führen Sie die Binärdatei aus mit dem C2-Argument -c 95.142.45.231:443.
3. Überprüfen Sie die ausgehende Verbindung (via netstat).

Diese Aktionen ordnen sich zu T1102 (Webdienst) für C2-Kommunikation und T1584.001 (Domänenerwerb) da die Domain Teil der Nutzlast ist.

Regressions-Testskript

# --------------------------------------------------------------
# SmartApeSG-C2-Simulation – löst Erkennungsregel aus
# --------------------------------------------------------------

# 1. Schreiben Sie einen minimalen Remcos-ähnlichen Stub (zur Demo verwenden Sie PowerShell, um TCP zu öffnen)
$c2Ip   = "95.142.45.231"
$c2Port = 443
$payloadFile = "$env:TEMPremcos_stub.exe"

# Erstellen Sie ein einfaches .NET-Programm, das eine TCP-Verbindung herstellt (simuliert RAT)
Add-Type -TypeDefinition @"
using System;
using System.Net.Sockets;
public class Stub {
    public static void Main(string[] args) {
        try {
            var client = new TcpClient();
            client.Connect("$c2Ip", $c2Port);
            System.Threading.Thread.Sleep(5000); // Verbindung am Leben halten
            client.Close();
        } catch (Exception ex) {
            Console.Error.WriteLine(ex.Message);
        }
    }
}
"@ -OutputAssembly $payloadFile -CompilerOptions "/target:exe"

# 2. Führen Sie den Stub aus (dies erzeugt die Netzwerkverbindung)
Start-Process -FilePath $payloadFile -WindowStyle Hidden

# 3. Optional: Lösen Sie die Fallback-Domain auf, um DNS-Aktivität zu beweisen
Resolve-DnsName -Name "fresicrto.top" -Type A | Out-Null

# 4. Pause zur Beobachtung
Start-Sleep -Seconds 10

# 5. Aufräumen – beenden Sie den Stub, wenn er noch läuft
Get-Process -Name "remcos_stub" -ErrorAction SilentlyContinue | Stop-Process -Force
Remove-Item -Path $payloadFile -Force

Aufräumbefehle

# Beenden Sie verbleibende Verbindungen vom Stub
Get-NetTCPConnection -RemotePort 443 -RemoteAddress 95.142.45.231 -State Established |
    ForEach-Object { Stop-Process -Id $_.OwningProcess -Force }

# Entfernen Sie temporäre Dateien (bereits im Skript gemacht, aber sorgen Sie für sauberen Zustand)
Remove-Item -Path "$env:TEMPremcos_stub.exe" -ErrorAction SilentlyContinue