La Campagna di Malware APT-Q-27 Si Concentra sul Supporto Clienti Web3

Sommario

Un attore di minacce motivato finanziariamente tracciato come APT-Q-27 (noto anche come GoldenEyeDog) sta conducendo una campagna malware multi-stadio che inizia da interazioni di chat di supporto clienti Web3. L’esca iniziale è un file .pif mascherato da screenshot, che implementa un caricatore .NET personalizzato. Quel caricatore estrae ulteriori fasi da AWS S3, costruisce una directory di staging nascosta e sfrutta il sideloading di DLL abbinando una DLL dannosa a un eseguibile legittimo della piattaforma YY. La fase finale installa una backdoor che comunica su una porta TCP non standard, abilitando l’accesso remoto furtivo oltre le baseline tipiche del traffico web.

Indagine

ZeroShadow ha analizzato varianti di loader multiple, tra cui Feedback.exe e photo2025060268jpg.exe, e ha recuperato un URL C2 codificato doppio-Base64 incapsulato nella catena. Il reverse engineering ha rivelato la logica di decrittazione del loader e il flusso di sideloading utilizzato per avviare l’esecuzione. Gli analisti hanno anche documentato un marker di percorso di staging costante contenente “@27”, oltre a un meccanismo di persistenza tramite un valore di esecuzione HKCU denominato SystemUpdats. È stato osservato che la backdoor utilizza un set hard-coded di 37 indirizzi IP C2, comunicando su TCP 15628, mentre mischia l’attività riferendosi a URL di aggiornamento di Microsoft come indicatori di rete ingannevoli.

Mitigazione

Abilita la visibilità completa delle estensioni dei file e blocca l’esecuzione di file .pif tra gli endpoint. Monitora la creazione di directory nascoste sotto le posizioni cache in stile Windows Update e segnala il valore della chiave di esecuzione SystemUpdats. Rafforza UAC impedendo agli attaccanti di azzerare simultaneamente le tre chiavi di politica rilevanti, e limita la connettività in uscita a TCP 15628 nei punti di uscita. Applica la convalida della firma del codice e scruta i binari firmati lanciati da directory non di sistema per ridurre il rischio di sideloading di DLL.

Risposta

Se vengono rilevate minacce, isola l’endpoint e conserva sia la memoria che gli artefatti del disco per l’analisi. Caccia la directory di staging contenente “@27”, l’entrata della chiave di esecuzione SystemUpdats e qualsiasi DLL sospetta abbinata all’eseguibile legittimo YY. Blocca gli IP/domain C2 identificati e implementa politiche di controllo delle applicazioni che impediscono l’esecuzione di binari non firmati o non affidabili dai percorsi del profilo utente. Espandi l’ambito su tutta la flotta per gli stessi schemi di persistenza e di rete per identificare ulteriori host interessati.

Esecuzione di Simulazione

Prerequisito: Il Controllo Pre-Operativo di Telemetria e Baseline deve essere completato.

Motivazione: Questa sezione descrive l’esecuzione precisa della tecnica dell’avversario (TTP) progettata per attivare la regola di rilevazione. I comandi e la narrativa DEVONO riflettere direttamente i TTP identificati e mirare a generare l’esatta telemetria prevista dalla logica di rilevazione.

• Narrativa e Comandi dell’Attacco:
  Un avversario con diritti di amministratore locale cerca di disabilitare UAC per agevolare l’utilizzo di strumenti di escalation dei privilegi successivi. Usando il nativo reg.exe utility (un binario living-off-the-land), l’attaccante imposta i tre valori politichi UAC critici a 0 in rapida successione (meno di 30 secondi) per evitare il rilevamento da processi di audit manuali.

  # Step 1 – Disable UAC “EnableLUA”
  reg add "HKLMSOFTWAREMicrosoftWindowsCurrentVersionPoliciesSystem" /v EnableLUA /t REG_DWORD /d 0 /f
  
  # Step 2 – Disable consent prompt for admins
  reg add "HKLMSOFTWAREMicrosoftWindowsCurrentVersionPoliciesSystem" /v ConsentPromptBehaviorAdmin /t REG_DWORD /d 0 /f
  
  # Step 3 – Disable secure desktop for UAC prompts
  reg add "HKLMSOFTWAREMicrosoftWindowsCurrentVersionPoliciesSystem" /v PromptOnSecureDesktop /t REG_DWORD /d 0 /f

  Questi tre comandi generano tre Eventi Registro log (EventID 4657 nel canale di Sicurezza e il corrispondente eventi Microsoft-Windows-Registry/Operativi ) contenenti i percorsi degli Oggetti Mirati e i dettagli valori che la regola Sigma corrisponde.

• Script di Test di Regressione: Il seguente script PowerShell esegue le tre scritture con una pausa di 5 secondi tra ciascuna per rimanere comodamente all’interno della finestra di 30 secondi fornendo anche un flusso di esecuzione deterministico.

  # Test di Regressione – Disabilitazione UAC tramite registro
  $regPath = "HKLM:SOFTWAREMicrosoftWindowsCurrentVersionPoliciesSystem"
  
  # Salva i valori originali per il ripristino successivo
  $originalEnableLUA = (Get-ItemProperty -Path $regPath -Name EnableLUA -ErrorAction SilentlyContinue).EnableLUA
  $originalConsent   = (Get-ItemProperty -Path $regPath -Name ConsentPromptBehaviorAdmin -ErrorAction SilentlyContinue).ConsentPromptBehaviorAdmin
  $originalPrompt    = (Get-ItemProperty -Path $regPath -Name PromptOnSecureDesktop -ErrorAction SilentlyContinue).PromptOnSecureDesktop
  
  # Disabilita UAC
  Set-ItemProperty -Path $regPath -Name EnableLUA -Value 0
  Start-Sleep -Seconds 5
  Set-ItemProperty -Path $regPath -Name ConsentPromptBehaviorAdmin -Value 0
  Start-Sleep -Seconds 5
  Set-ItemProperty -Path $regPath -Name PromptOnSecureDesktop -Value 0
  
  Write-Host "UAC disattivato – i log di verifica dovrebbero essere ora ingestiti."

• Comandi di Pulizia: Ripristina le impostazioni originali dell’UAC per riportare il sistema al suo stato pre-test.

  # Pulizia – Ripristina le impostazioni originali dell'UAC
  $regPath = "HKLM:SOFTWAREMicrosoftWindowsCurrentVersionPoliciesSystem"
  
  if ($null -ne $originalEnableLUA) { Set-ItemProperty -Path $regPath -Name EnableLUA -Value $originalEnableLUA }
  if ($null -ne $originalConsent)   { Set-ItemProperty -Path $regPath -Name ConsentPromptBehaviorAdmin -Value $originalConsent }
  if ($null -ne $originalPrompt)    { Set-ItemProperty -Path $regPath -Name PromptOnSecureDesktop -Value $originalPrompt }
  
  Write-Host "Le impostazioni UAC sono state ripristinate ai valori originali."