Campagna Photo ZIP che prende di mira il settore dell’ospitalità fornisce un implant Node.js per accesso persistente

Riepilogo

Una campagna di intrusione attiva a più stadi sta prendendo di mira il settore dell’ospitalità tramite archivi ZIP a tema fotografico che contengono file LNK dannosi. La catena di infezione utilizza decodificatori PowerShell offuscati, la compilazione di DLL .NET dinamica e un impianto basato su Node.js per la persistenza e la comunicazione di comando e controllo. L’attore della minaccia ricorre anche al riciclaggio dell’autenticazione tramite servizi legittimi come Calendly e Google per ridurre la possibilità di rilevamento basato su email.

Indagine

Microsoft ha identificato due ondate separate della campagna e ha osservato una progressione da semplici loader PowerShell a fasi di compilazione .NET più complesse. L’indagine ha anche scoperto una strategia di doppia persistenza che si basava sia su HKCURun and HKCURunOnce chiavi di registro. I ricercatori hanno inoltre osservato l’uso di domini con front-end Cloudflare e porte di comando e controllo non standard per oscurare l’infrastruttura di supporto.

Mitigazione

Le organizzazioni dovrebbero dare priorità ai rilevamenti a strati per l’esecuzione dei collegamenti, la compilazione .NET imprevista e i processi Node.js avviati da directory scrivibili dall’utente. È fortemente consigliato abilitare le regole di riduzione della superficie di attacco e monitorare i cambiamenti non autorizzati alle esclusioni di Microsoft Defender. Bloccare i modelli di dominio sospetti .cfd e osservare il traffico in uscita su porte insolite può anche aiutare a ridurre l’esposizione.

Risposta

Se viene rilevata questa attività, la bonifica dovrebbe includere la rimozione sia dell’elemento ProgramData RunOnce che della chiave Node.js per impedire all’impianto di ripristinarsi. I team di sicurezza dovrebbero anche eliminare il runtime Node.js e i relativi Run key to stop the implant from restoring itself. Security teams should also delete the Node.js runtime and related .js payload dalla directory AppDataLocalNodejs . La pulizia completa richiede di affrontare sia il payload attivo che i meccanismi di persistenza lasciati.

Esecuzione della Simulazione

Prerequisito: Il Check-Preflight di Telemetria e Baseline deve essere superato.

Razionale: Questa sezione illustra l’esecuzione precisa della tecnica dell’avversario (TTP) progettata per attivare la regola di rilevamento. I comandi e la narrazione DEVONO riflettere direttamente i TTP identificati e mirare a generare la telemetria esatta aspettata dalla logica di rilevamento. Esempi astratti o non correlati porteranno a errori di diagnosi.

• Narrazione e Comandi dell’Attacco: Un avversario ha ottenuto l’accesso iniziale tramite un link di spearphishing (T1566.002). Per stabilire persistenza e Comando e Controllo (C2), l’avversario distribuisce un impianto leggero basato su PowerShell. Per evitare il rilevamento dalle regole firewall di base che monitorano solo le porte standard, l’attaccante decide di utilizzare una porta non standard (8443) per il battito cardiaco primario. Inoltre, l’impianto è configurato per eseguire un secondo “call home” a un dominio di backup ospitato su un .cfd TLD per garantire la resilienza se l’IP principale viene bloccato. Questo imita il comportamento della campagna Photo-Zip menzionata nei riferimenti della regola.

• Script di Test di Regressione:

  # Script di Simulazione: Emulazione C2 per la Validazione della Regola
  # Questo script simula connessioni di rete a porte non standard e domini .cfd.
  
  Write-Host "[+] Avviando Simulazione C2..." -ForegroundColor Cyan
  
  # 1. Simula la connessione a una porta C2 non standard (8443)
  # Usiamo un IP pubblico che ascolta sulla 8443 (o un listener locale se disponibile)
  Write-Host "[+] Tentativo di connessione a porta non standard 8443..." -ForegroundColor Yellow
  try {
      $tcpClient = New-Object System.Net.Sockets.TcpClient
      $tcpClient.Connect("8.8.8.8", 8443) # Utilizzando Google DNS come target fittizio per testare la porta
  } catch {
      Write-Host "[!] Connessione a porta 8443 fallita (Aspettato se la porta è chiusa), ma la telemetria dovrebbe ancora essere generata." -ForegroundColor Gray
  } finally {
      $tcpClient.Close()
  }
  
  # 2. Simula la connessione a un dominio .cfd
  # Tentiamo di risolvere e connetterci a un dominio fittizio .cfd
  Write-Host "[+] Tentativo di connessione a dominio .cfd..." -ForegroundColor Yellow
  $cfdDomain = "malicious-c2-test.cfd"
  try {
      # Utilizzando Resolve-DnsName per innescare la telemetria DNS, seguito da una richiesta web
      Resolve-DnsName -Name $cfdDomain -ErrorAction SilentlyContinue
      Invoke-WebRequest -Uri "http://$cfdDomain" -TimeoutSec 2 -ErrorAction SilentlyContinue
  } catch {
      Write-Host "[!] Connessione a dominio .cfd fallita (Aspettato per dominio fittizio), ma la telemetria dovrebbe essere generata." -ForegroundColor Gray
  }
  
  Write-Host "[+] Simulazione Completa." -ForegroundColor Cyan

• Comandi di Pulizia:

  # Pulizia: Nessun artefatto persistente è stato creato da questo specifico script.
  # Se un listener è stato avviato, dovrebbe essere fermato.
  Write-Host "[+] Nessuna pulizia richiesta per questa simulazione senza stato." -ForegroundColor Green