Ciberataque por el grupo APT28 usando el programa malicioso CredoMap_v2 (CERT-UA#4622)

Ejecución de Simulación

Requisito previo: la comprobación previa de Telemetría y Línea base debe haber pasado.

Justificación: Esta sección detalla la ejecución precisa de la técnica del adversario (TTP) diseñada para activar la regla de detección. Los comandos y la narrativa DEBEN reflejar directamente los TTPs identificados y apuntar a generar la telemetría exacta esperada por la lógica de detección. Ejemplos abstractos o no relacionados conducirán a un mal diagnóstico.

• Narrativa del Ataque y Comandos:
  Un operador de APT28 recibe un correo electrónico de phishing que contiene un archivo RAR protegido por contraseña. Dentro, hay un ejecutable autoextraíble (SFX) llamado UkrScanner.exe. Después de extraer el archivo en la máquina de la víctima, el operador ejecuta el stub SFX, que descarga y ejecuta el malware CredoMap_v2. La ejecución de UkrScanner.exe crea un evento de creación de procesos que coincide con la regla de detección.

  Pasos de simulación (realizados en el host de prueba):

  1. Crear un ejecutable ficticio llamado UkrScanner.exe (copia de powershell.exe por seguridad).
  2. Iniciar el ejecutable ficticio para imitar la ejecución del archivo SFX por parte del atacante.

• Script de Prueba de Regresión:

  # ==============================
  # Simulación de ejecución de CredoMap_v2 desde SFX (UkrScanner.exe)
  # ==============================
  $tempPath = "$env:TEMPUkrScanner.exe"
  
  # 1. Preparar una carga útil inofensiva (copia de powershell.exe)
  Copy-Item -Path "$env:SystemRootSystem32WindowsPowerShellv1.0powershell.exe" -Destination $tempPath -Force
  
  # 2. Asegurarse de que el archivo sea ejecutable
  Unblock-File -Path $tempPath
  
  # 3. Ejecutar el stub SFX ficticio (simula al atacante ejecutando el archivo)
  Write-Host "Launching dummy SFX executable..."
  Start-Process -FilePath $tempPath -ArgumentList "-NoProfile -WindowStyle Hidden" -PassThru
  
  # 4. Pause para permitir la ingestión de SIEM
  Start-Sleep -Seconds 5
  Write-Host "Simulación completa. Verifique SIEM para una detección de creación de procesos que finaliza con 'UkrScanner.exe'."

• Comandos de Limpieza:

  # Detener cualquier proceso de powershell persistente iniciado por el ejecutable ficticio (si lo hay)
  Get-Process -Name "powershell" -ErrorAction SilentlyContinue | Where-Object {$_.Path -like "*UkrScanner.exe"} | Stop-Process -Force
  
  # Eliminar el ejecutable ficticio
  $tempPath = "$env:TEMPUkrScanner.exe"
  if (Test-Path $tempPath) {
      Remove-Item -Path $tempPath -Force
      Write-Host "Cleanup complete: removed $tempPath"
  }