SVCReady Malware-Erkennung: Ein neuer Loader, massiv über Phishing verbreitet
Inhaltsverzeichnis:
Lernen Sie SVCReady kennen, einen neuen bösartigen Loader auf dem Markt! Der neue Stamm wird seit April 2022 über Phishing-Kampagnen stark verbreitet und nutzt eine ungewöhnliche Infektionsroutine. Laut Experten verlässt sich SVCReady auf Shellcode, der in den Eigenschaften des Microsoft Office-Dokuments versteckt ist, was es ihm ermöglicht, den Sicherheitslösungen zu entgehen. Da die Malware derzeit aktiv entwickelt wird und bisher häufige Funktionsupdates beobachtet wurden, könnten bald zusätzliche ausgeklügelte Tricks und Funktionen hinzugefügt werden, um ihre Fähigkeiten zu stärken.
SVCReady-Malware erkennen
Erkennen Sie die bösartige Aktivität im Zusammenhang mit dem neuen SVCReady-Loader mit einer dedizierten Sigma-Regel von unserem erfahrenen Threat Bounty-Entwickler Kaan Yeniyol. Möchten Sie Ihre Bedrohungserkennungsfähigkeiten monetarisieren? Treten Sie unserem Threat Bounty Programmbei, lassen Sie Ihre Sigma-Regeln auf der SOC Prime-Plattform veröffentlichen und erhalten Sie regelmäßige Belohnungen, während Sie zur kollaborativen Cyber-Verteidigung beitragen.
Die Regel unten erkennt verdächtige SVCReady-Persistenz durch Identifizierung der zugehörigen geplanten Aufgabe.
Die Erkennung ist mit 18 SIEM-, EDR- und XDR-Formaten kompatibel und ausgerichtet auf das MITRE ATT&CK®-Rahmenwerkv.10, das die Ausführungstaktik mit geplanter Aufgabe/Job (T1053) als Haupttechnik adressiert.
Um die gesamte Sammlung von Sigma-Regeln zur Erkennung der neuesten Cyber-Bedrohungen zu erreichen, klicken Sie auf die Erkennen & Jagen -Taste unten. Um den zusätzlichen Bedrohungskontext zu erkunden, einschließlich Ideen für das Threat Hunting, Anleitung zur Detection Engineering und Links zur neuesten Cyber-Bedrohungsaufklärung, klicken Sie auf Bedrohungskontext-Entdecken-Schaltfläche und gehen Sie sofort zur Suchmaschine für Cyber-Bedrohungen von SOC Prime über.
Erkennen & Jagen Bedrohungskontext erkunden
SVCReady-Analyse
Laut der Untersuchung von HPs Bedrohungsforschungsteam ist SVCReady eine zuvor undokumentierte Malware-Familie, die im April 2022 aufgetaucht ist. Seitdem wird der neue Loader massiv über Phishing-Kampagnen verbreitet.
Die Infektionskette beginnt typischerweise mit einer Phishing-E-Mail, die ein bösartiges Microsoft Word-Dokument als Anhang enthält. Doch anstatt der traditionellen Praxis, PowerShell oder MSHTA über bösartige Makros zu nutzen, verlassen sich die Betreiber von SVCReady auf VBA, um Shellcode auszuführen, der in die .doc-Dateieigenschaften eingefügt ist. Sobald der Shellcode extrahiert und mit Makro ausgeführt wird, wird es in den Speicher geladen, um die Funktionalität der Windows-API „Virtual Protect“ zu nutzen und ausführbare Zugriffsrechte zu erhalten. Im nächsten Schritt führt die SetTimer-API den Shellcode aus, was in einer Malware-Nutzlast endet, die auf die Zielinstanz abgeworfen wird.
Nach der Infektion ist der SVCReady-Loader in der Lage, eine lange Liste bösartiger Aktionen auszuführen, darunter das Herunterladen von Dateien auf den kompromittierten Client, das Aufnehmen von Screenshots, das Ausführen von Shell-Befehlen, das Herstellen von Persistenz durch eine geplante Aufgabe, das Ausführen von Dateien und das Liefern zusätzlicher Nutzlasten an die infizierte Umgebung. HP-Forscher identifizierten mehrere Fälle von RedLine stealer , die von SVCReady im April 2022 abgeworfen wurden.
TA551 (Shatak) Kollektiv wird verdächtigt, die SVCReady-Kampagnen zu betreiben, da HP-Experten eine große Überschneidung in den Taktiken beobachten. Insbesondere weist die Forschung auf die Bildköder, Ressourcen-URLs und weitere Details hin, die von SVCReady verwendet werden und mit TA551-Routinen aus der Vergangenheit in Verbindung stehen. Die genaue Zuordnung der Kampagnen ist derzeit jedoch unklar.
Nutzen Sie die Kraft der kollaborativen Cyber-Verteidigung und profitieren Sie von der weltweit fortschrittlichsten Detection as Code-Plattform , einschließlich des Zugriffs auf über 190K kuratierte Erkennungsalgorithmen, die für mehr als 25 SIEM-, EDR- und XDR-Lösungen verfügbar sind.
