Regel der Woche: Bunitu-Trojaner
Heute in der Rubrik Regel der Woche möchten wir eine neue Threat-Hunting-Regel von Ariel Millahuel hervorheben, die dabei hilft, Muster des Bunitu Proxy Trojaners zu erkennen: https://tdm.socprime.com/tdm/info/3evdCZVz3mCX/_WrlonIBPeJ4_8xctGPi/?p=1
Der Bunitu Trojaner wird verwendet, um infizierte Systeme in einen Proxy für entfernte Clients zu verwandeln. Seine schädlichen Aktionen können den Netzwerkverkehr verlangsamen, und Angreifer nutzen ihn oft als Werkzeug, um IP-Adressen infizierter Maschinen umzuleiten und sie für bösartige Zwecke zu missbrauchen. Sobald ein Computer infiziert ist, öffnet der Bunitu Trojaner Ports für Remote-Verbindungen, registriert die kompromittierte Maschine in der Datenbank, indem er Informationen über ihre Adresse und offenen Ports sendet, und akzeptiert dann Verbindungen an den exponierten Ports.
Angreifer können das infizierte System im Netzwerk der Organisation in verschiedenen betrügerischen Schemata nutzen, da die IP der infizierten Maschine diejenige ist, die von außen sichtbar ist. Bunitu Trojaner-Operatoren haben ihn zuvor oft über Exploit-Kits verteilt, einschließlich des berüchtigten RIG EK, welcher noch aktiv ist und die Sicherheit von Firmennetzwerken gefährdet, wo es schwierig ist, zeitgerechtes Patchen nachzuverfolgen.
Die Malware-Autoren nehmen an diesem Trojaner nicht oft drastische Änderungen vor, aber die verwendete Verpackung, bestehend aus vielen Schichten, ermöglicht es dem Bunitu Trojaner, für lange Zeit unentdeckt zu bleiben. Daher wird die Nutzung der Community-Regel von Ariel Millahuel helfen, den Trojaner im Netzwerk der Organisation rechtzeitig zu identifizieren.
Die Regel hat Übersetzungen für die folgenden Plattformen:
SIEM: Azure Sentinel, ArcSight, QRadar, Graylog, Sumo Logic, ELK Stack, RSA NetWitness, Logpoint, Humio,
EDR: Microsoft Defender ATP, Carbon Black, Elastic Endpoint
MITRE ATT&CK:
Taktiken: Ausführung, Persistenz
Techniken: Ausführung durch Modul-Ladung (T1129), Registrierungsschlüssel / Autostart-Ordner (T1060)
