Campagna di Attacchi con Driver PoisonX Prende di Mira le Organizzazioni Giapponesi

Sommario

Una campagna osservata nell’aprile 2026 ha utilizzato email di spear-phishing con file LNK dannosi o download eseguibili ospitati su Google Cloud Storage. Il payload consegnato ha installato un driver kernel chiamato PoisonX insieme a un RAT modulare denominato 10FXRAT, consentendo agli attaccanti di ottenere privilegi a livello del kernel, disabilitare strumenti di sicurezza e nascondere attività dannose. Varianti successive hanno anche adottato tattiche BYOVD attraverso driver firmati legittimi come EneIo64.sys and procexp.sys. L’attività è stata osservata colpire organizzazioni in Giappone e Cina.

Indagine

Il report descrive l’intera catena di esecuzione, iniziando con un downloader basato su LNK che invoca curl.exe, per poi passare ai componenti PXDropper che distribuiscono i moduli driver PoisonX e 10FXRAT. Vengono inoltre descritte le routine IOCTL basate su driver utilizzate per terminare processi relativi alla sicurezza e nascondere il traffico di rete. I ricercatori hanno documentato controlli anti-analisi, modifiche del registro, creazione di servizi e metodi di persistenza, e hanno elencato gli indirizzi IP di comando e controllo codificati associati all’operazione.

Mitigazione

I difensori dovrebbero monitorare attività impreviste di installazione di driver, specialmente driver non firmati o sospettosamente firmati, e la creazione di servizi con nomi di file di tipo HID randomizzati. La rilevazione dovrebbe anche coprire le modifiche al registro che aggiungono esclusioni di Microsoft Defender o disabilitano i servizi Defender. Il traffico in uscita verso gli intervalli IP di comando e controllo identificati dovrebbe essere bloccato, e il monitoraggio della rete dovrebbe cercare il valore magico 0x58463031 nel payload TCP.

Risposta

Se questa attività è rilevata, isolare immediatamente l’endpoint colpito, scaricare il driver PoisonX dove possibile e terminare tutti i processi 10FXRAT. Ripristinare le impostazioni del registro alterate, riattivare le protezioni di Microsoft Defender e sostituire i file modificati con versioni pulite provenienti da fonti affidabili. Andrebbe poi eseguita un’indagine forense completa per identificare i meccanismi di persistenza e rivedere il traffico verso i server di comando e controllo noti.

Esecuzione di Simulazione

Prerequisito: Il Controllo Prevolo di Telemetria & Baseline deve essere passato.

Razionale: Questa sezione dettaglia l’esecuzione precisa della tecnica dell’avversario (TTP) progettata per attivare la regola di rilevamento. I comandi e il racconto DEVONO riflettere direttamente i TTP identificati e mirare a generare la telemetria esatta prevista dalla logica di rilevamento.

• Narrazione dell’attacco e comandi:
  L’attaccante inietta inizialmente un payload shellcode personalizzato in usoclient64.exe per ottenere un appoggio su processo affidato (T1574.009). Con il processo compromesso, eseguono una linea di comando PowerShell che aggiunge la cartella del payload malevolo alla lista di esclusione di Windows Defender (T1564.012). Infine, disabilitano i servizi di sicurezza fondamentali utilizzando una catena cmd.exe che ferma Windows Defender, Windows Security Center e qualsiasi AV di terze parti (T1547.001 persistenza tramite interruzione del servizio).

  1. Hollowing / Iniezione di Processo – simulare avviando usoclient64.exe con uno script PowerShell che dorme (rappresenta il codice iniettato).
  2. Aggiungi Esclusione di Defender – comando PowerShell che corrisponde esattamente alla stringa della regola.
  3. Arresta i Servizi di Sicurezza – cmd.exe una linea di comando che ferma i servizi.

• Script di Test di Regressione:

  # -------------------------------------------------------------------------
  #  Script di Simulazione – attiva la regola Sigma per comportamento simile a 10FXRAT
  # -------------------------------------------------------------------------
  
  # 1. Simula l'iniezione di usoclient64.exe (segnaposto per hollowing di processo)
  $usoclient = "$env:SystemRootSystem32usoclient64.exe"
  Write-Host "[*] Lanciando usoclient64.exe (iniezione simulata)..."
  Start-Process -FilePath $usoclient -ArgumentList "/RunDll32" -WindowStyle Hidden
  
  # 2. Comando PowerShell che aggiunge un'esclusione di Defender (corrisponde alla regola)
  Write-Host "[*] Aggiungendo il path di esclusione di Windows Defender..."
  powershell.exe -NoP -NonI -W Hidden -C "Add-MpPreference -ExclusionPath 'C:TempMalicious'"
  
  # 3. Disabilita i servizi di sicurezza tramite cmd (corrisponde alla regola)
  Write-Host "[*] Fermando i servizi di sicurezza..."
  cmd.exe /c "net stop WinDefend /y >nul 2>&1 & net stop wscsvc /y >nul 2>&1 & net stop Sense /y >nul 2>&1"
  
  Write-Host "[+] Simulazione completa. Verifica allarmi nel SIEM."

• Comandi di Pulizia:

  # -------------------------------------------------------------------------
  #  Pulizia – ripristina un normale assetto di sicurezza
  # -------------------------------------------------------------------------
  
  # Rimuovere l'esclusione di Defender
  powershell.exe -NoP -NonI -W Hidden -C "Remove-MpPreference -ExclusionPath 'C:TempMalicious'"
  
  # Riavviare i servizi fermati
  cmd.exe /c "net start WinDefend >nul 2>&1 & net start wscsvc >nul 2>&1 & net start Sense >nul 2>&1"
  
  # Facoltativamente uccidere l'istanza iniettata di usoclient64.exe
  Get-Process -Name usoclient64 -ErrorAction SilentlyContinue | Stop-Process -Force
  
  Write-Host "[+] Pulizia completata."