ChainShell: MuddyWater y MaaS Ruso

Resumen

MuddyWater, un actor de espionaje vinculado a Irán, está aprovechando la plataforma rusa TAG-150 de malware como servicio para entregar CastleRAT y un nuevo agente C2 habilitado por blockchain de Node.js rastreado como ChainShell contra objetivos israelíes y otros de alto valor. La actividad es apoyada por un servidor web C2 expuesto y mal configurado, un script de implementación de PowerShell (reset.ps1) y cargas útiles PE ocultas mediante esteganografía. Múltiples versiones de CastleRAT (incluidas Build 120 y Build 13) contienen identificadores codificados compartidos que apuntan a la misma línea de MaaS. La infraestructura de backend parece estar organizada por campañas, usando dominios compartidos (por ejemplo, serialmenot.com) y credenciales JWT por operación para separar el acceso y el seguimiento en las implementaciones.

Investigación

JUMPSEC revisó el host C2 expuesto, recuperó 15 muestras de malware y vinculó la lógica de implementación de reset.ps1 a la entrega de ambos, ChainShell y múltiples compilaciones de CastleRAT. Los investigadores también correlacionaron certificados de firma de código (Amy Cherne y Donald Gay) vistos en herramientas conocidas de MuddyWater con el instalador TAG-150 MSI, formando una pista de atribución de alta confianza. Se observó un solapamiento adicional entre las muestras en marcadores de compilación codificados, convenciones de nombres de tareas programadas recurrentes e IDs de campaña JWT incrustados en las herramientas y artefactos del servidor.

Mitigación

Monitorear reset.ps1, tareas programadas asociadas y artefactos de mutex o rutas de archivos únicas vinculadas a CastleRAT y ChainShell. Bloquear infraestructura conocida de TAG-150, incluyendo serialmenot.com, ttrdomennew.com y sharecodepro.com, y examinar a fondo la instalación de componentes de Node.js a través de PowerShell. Aplicar controles estrictos de firma de código y validar certificados sospechosos contra material de firma vinculado a MuddyWater.

Respuesta

Si se encuentran indicadores, aislar los puntos finales afectados, capturar imágenes completas de disco y memoria, y buscar remanentes adicionales de CastleRAT y ChainShell. Revocar o dejar de confiar en certificados de firma de código comprometidos, restablecer credenciales afectadas y coordinar el informe con los CERTs nacionales relevantes. Revisar la telemetría de la red para detectar patrones de acceso a RPC de Ethereum y uso de JWT vinculados al flujo de trabajo de comando y control de serialmenot.com.

Simulation Execution

Prerequisite: The Telemetry & Baseline Pre‑flight Check must have passed.

• Attack Narrative & Commands:

  1. Stage 1 – Prepare a simple C2 server (run on the attacker machine or a controlled VM). The server listens on port 9999 and echoes received data.

  2. Stage 2 – On the target Windows host, launch a PowerShell back‑door that opens a TCP connection to the C2 server on port 9999. The payload uses native .NET classes to avoid creating a separate executable, mimicking a “living‑off‑the‑land” approach.

  3. Stage 3 – Optional proxy hop: The PowerShell script first contacts a local HTTP proxy (listening on 127.0.0.1:8080) which forwards the TCP traffic to the remote C2 server, demonstrating that the destination port stays unchanged.

  These steps produce firewall events with DestinationPort = 9999, satisfying the Sigma rule.

• Regression Test Script:

  # -------------------------------------------------
  # CastleRAT‑style C2 simulation – PowerShell
  # -------------------------------------------------
  # 1. Define C2 server address (replace with your test IP)
  $c2Ip = "10.0.0.50"
  $c2Port = 9999
  
  # 2. OPTIONAL: Define local proxy (if you want to test proxy hop)
  $useProxy = $false
  $proxyHost = "127.0.0.1"
  $proxyPort = 8080
  
  # 3. Function to open a TCP stream (direct or via proxy)
  function Invoke-C2Connection {
      param (
          [string]$destIp,
          [int]$destPort,
          [bool]$viaProxy
      )
      if ($viaProxy) {
          # Simple HTTP CONNECT tunnel
          $proxyUri = "http://$proxyHost`:$proxyPort"
          $client = New-Object System.Net.Sockets.TcpClient($proxyHost,$proxyPort)
          $stream = $client.GetStream()
          $connectRequest = "CONNECT $destIp`:$destPort HTTP/1.1`r`nHost: $destIp`r`n`r`n"
          $bytes = [System.Text.Encoding]::ASCII.GetBytes($connectRequest)
          $stream.Write($bytes,0,$bytes.Length)
          # Discard proxy response
          $buffer = New-Object byte[] 1024
          $null = $stream.Read($buffer,0,$buffer.Length)
          Write-Host "[+] Proxy tunnel established"
          return $stream
      } else {
          $client = New-Object System.Net.Sockets.TcpClient($destIp,$destPort)
          Write-Host "[+] Direct TCP connection established"
          return $client.GetStream()
      }
  }
  
  # 4. Open the connection
  $stream = Invoke-C2Connection -destIp $c2Ip -destPort $c2Port -viaProxy:$useProxy
  
  # 5. Send a simple beacon
  $beacon = "CastleRAT Beacon $(Get-Date -Format o)`n"
  $bytes = [System.Text.Encoding]::UTF8.GetBytes($beacon)
  $stream.Write($bytes,0,$bytes.Length)
  Write-Host "[+] Beacon sent"
  
  # 6. Keep the channel open for a short period (simulate persistence)
  Start-Sleep -Seconds 15
  
  # 7. Cleanup
  $stream.Close()
  Write-Host "[+] Connection closed"

• Cleanup Commands:

  # Ensure any lingering TCP connections are closed
  Get-NetTCPConnection -RemotePort 9999 -State Established | ForEach-Object {
      try {
          $proc = Get-Process -Id $_.OwningProcess -ErrorAction SilentlyContinue
          if ($proc) { Stop-Process -Id $proc.Id -Force }
      } catch {}
  }
  
  # Remove any temporary proxy listener if it was started locally
  Stop-Process -Name "python" -Force -ErrorAction SilentlyContinue

Additional Observations & Hardening Recommendations

1. Enrich Port‑Based Detection: Combine the port check with known malicious C2 IPs/domains, TLS fingerprinting, or abnormal traffic volume heuristics.
2. Allow‑List Legitimate Services: Create an exception list for applications that legitimately use ports 9999 or 8888 (e.g., certain database or management tools).
3. Behavioural Baselines: Deploy statistical models to flag low‑frequency outbound connections to high‑risk ports originating from non‑server endpoints.
4. Process Context: Correlate firewall events with the originating process (ImageFileName, CommandLine). Flag connections made by unexpected processes (e.g., powershell.exe, cmd.exe).

By applying these mitigations, the rule’s resilience can be raised from the current 2 to a 4‑5 range, dramatically reducing false positives while preserving detection of genuine CastleRAT C2 traffic.