UAC-0099 und Sandworm setzen MythicRatatoskr-Backdoor über Yggdrasil ein

Zusammenfassung

Mitglieder, die mit den Ransomware-Gruppen INC und The Gentlemen in Verbindung stehen, nutzen ein KI-gesteuertes Eindringungssystem, um Aufklärung, Befehlsgenerierung und Datenklassifizierung zu automatisieren. Die Betreiber verwenden ein benutzerdefiniertes Framework namens Phantom zusammen mit kommerziellen LLMs, um groß angelegte Einbrüche zu unterstützen. Die Infrastruktur wurde offengelegt, nachdem erhebliche OPSEC-Fehler Befehl-und-Kontrolle-Server und gespeicherte KI-Sitzungsdaten enthüllten.

Untersuchung

Die Untersuchung begann, nachdem Forscher einen freiliegenden Befehl-und-Kontrolle-Server unter 45.227.254.43 gefunden hatten, der offene Verzeichnisse mit Phantom-Quellcode und KI-Sitzungsdatenbanken hostete. Die Analyse freigelegter Konfigurationsdateien und Anmeldedaten entdeckte anschließend sechs weitere von Gegnern kontrollierte Server. Forscher identifizierten einen hoch automatisierten Workflow, in dem KI den Großteil der technischen Ausführung übernimmt, während menschliche Betreiber die Aufsicht behalten.

Minderung

Organisationen sollten Priorität darauf legen, Systeme an der Peripherie zu patchen, insbesondere FortiClient EMS, SimpleHelp und cPanel, um häufige erste Zugangspfade zu schließen. Die Durchsetzung von Multi-Faktor-Authentifizierung (MFA) über RMM-, VPN- und Fernzugriffsplattformen ist entscheidend, um das Risiko der Wiederverwendung von Anmeldedaten zu reduzieren. Verteidiger sollten außerdem EDR-Schutz vor Manipulationen aktivieren und auf unautorisierte Beendigungen von Sicherheitsdiensten oder das Laden bekannter anfälliger Treiber überwachen.

Reaktion

Wenn bösartige Aktivitäten identifiziert werden, isolieren Sie betroffene Endgeräte und überprüfen Sie administrative Konten in EMS- und RMM-Plattformen auf unautorisierte Ergänzungen. Überprüfen Sie VPN-Verbindungsskripte auf verdächtige Änderungen und ändern Sie kompromittierte Anmeldedaten sofort. Führen Sie eine gründliche Untersuchung geplanter Aufgaben und aktiver Reverse-SOCKS-Tunnel durch, um persistente C2-Kanäle zu identifizieren und zu beenden.

Simulation Ausführung

• Angriffserzählung & Befehle: Der Gegner zielt darauf ab, Persistenz auf dem Zielhost unter Verwendung des MythicRatatoskr Backdoor herzustellen. Um die Erkennung zu simulieren, wird der Angreifer drei verschiedene Aktionen ausführen: 1) Ein Befehl ausführen, der den spezifischen String „MATCHWOK Backdoor“ enthält, um auszulösen Auswahl1; 2) Ein bösartiges Binärdatei am hochspezifischen Pfad ablegen C:windowssystem32updater.exe um auszulösen Auswahl2; und 3) Einen neuen Windows-Dienst mit dem Namen erstellen WindowsDefenderSvc.exe um auszulösen Auswahl3. Dies ahmt die mehrstufige Bereitstellung nach, bei der ein anfänglicher Zugriff zu einer hoch privilegierten Persistenz führt.

• Regressionstest Skript:

  # Simulationsskript zur Überprüfung der Erkennung von MATCHWOK/MythicRatatoskr
  # HINWEIS: Dieses Skript muss mit Administratorrechten ausgeführt werden.
  
  Write-Host "[*] Simulation wird gestartet..." -ForegroundColor Cyan
  
  # 1. Auslösung Auswahl 1: CommandLine enthält 'MATCHWOK Backdoor'
  Write-Host "[+] Auslösung Auswahl 1 (Befehlszeile)..." -ForegroundColor Yellow
  Start-Process cmd.exe -ArgumentList "/c echo Dies ist eine Simulation der MATCHWOK Backdoor-Ausführung" -WindowStyle Hidden
  
  # 2. Auslösung Auswahl 2: Bild ist 'C:windowssystem32updater.exe'
  Write-Host "[+] Auslösung Auswahl 2 (Dateipfad)..." -ForegroundColor Yellow
  $targetPath = "C:WindowsSystem32updater.exe"
  if (Test-Path $targetPath) { Remove-Item $targetPath -Force }
  New-Item -Path $targetPath -ItemType File -Force | Out-Null
  Start-Process $targetPath -ArgumentList "/silent" -ErrorAction SilentlyContinue
  
  # 3. Auslösung Auswahl 3: ServiceName ist 'WindowsDefenderSvc.exe'
  Write-Host "[+] Auslösung Auswahl 3 (Dienstname)..." -ForegroundColor Yellow
  $serviceName = "WindowsDefenderSvc.exe"
  # Erstellung eines Dummy-Dienstes, der 'cmd.exe' ausführt
  New-Service -Name $serviceName -BinaryPathName "C:WindowsSystem32cmd.exe /c echo Persistenz" -DisplayName "Windows Defender Sicherheitsdienst" -StartupType Manual
  
  Write-Host "[*] Simulation abgeschlossen." -ForegroundColor Green

• Bereinigung Befehle:

  # Bereinigungsskript
  Write-Host "[!] Bereinigung von Simulationsartefakten..." -ForegroundColor Red
  
  # Den Dienst entfernen
  Stop-Service -Name "WindowsDefenderSvc.exe" -ErrorAction SilentlyContinue
  sc.exe delete "WindowsDefenderSvc.exe"
  
  # Die bösartige Datei entfernen
  Remove-Item "C:WindowsSystem32updater.exe" -Force -ErrorAction SilentlyContinue
  
  Write-Host "[*] Bereinigung abgeschlossen." -ForegroundColor Green