Catena di caricamento in stile SilverFox utilizza Panasonic Shells, Alibaba OSS e Sauron

SOC Prime Team

Segui

Catena di caricamento in stile SilverFox utilizza Panasonic Shells, Alibaba OSS e Sauron

Detection stack

AIDR
Alert
ETL
Query

Rapporto
Flusso di Attacco
Rilevamenti
Simulazioni

Sommario

Questa minaccia si concentra su una catena di caricamento multifase altamente sofisticata, mascherata come software legittimo di Panasonic. Il malware utilizza Alibaba OSS per fornire payload e si basa su vettori cifrati basati su immagini che utilizzano un caratteristico formato trailer EOF a cinque byte. La sua fase finale distribuisce il backdoor Sauron, che mantiene la persistenza attraverso la creazione di servizi e modifiche mirate al registro.

Indagine

Gli analisti hanno condotto sia analisi statiche che dinamiche e hanno scoperto una sequenza di operazioni di side-loading che coinvolgono binari etichettati come software di Tencent e Philips. L’indagine ha esposto una routine di decrittazione stratificata che utilizza incrementando XOR e RC4, insieme alla creazione di attività pianificate tramite meccanismi RPC. La forensi della memoria e la telemetria sandbox hanno aiutato a ricostruire il percorso completo di esecuzione, dal wrapper iniziale a tema Panasonic al backdoor finale Sauron.

Mitigazione

Le organizzazioni dovrebbero monitorare la pianificazione non autorizzata di attività basate su RPC e la creazione sospetta di attività pianificate tramite NdrClientCall3. Un forte allowlisting delle applicazioni può aiutare a bloccare l’esecuzione di DLL side-loaded non approvate. I difensori dovrebbero anche prestare attenzione all’eliminazione inattesa delle copie shadow del volume e alle modifiche del registro sospette sotto HKCUSOFTWARE.

Risposta

Se viene rilevata questa attività, isolare immediatamente i sistemi interessati per interrompere ulteriori movimenti laterali o comunicazioni di comando e controllo. Effettuare analisi della memoria per identificare i moduli iniettati e determinare lo stadio attuale della catena di caricamento. Anche i log di rete dovrebbero essere esaminati per il traffico verso l’infrastruttura Alibaba OSS e gli indirizzi IP di comando e controllo noti identificati durante il triage.

<div class="wp-block-socprime-category-attack-flow attack-flow-class" data-title="Attack Flow" data-attack-flow="graph TB %% Class Definitions classDef action fill:#99ccff classDef malware fill:#ff9999 classDef tool fill:#cccccc classDef evasion fill:#ccffcc classDef persistence fill:#ffff99 %% Node Definitions %% Initial Access and Execution exec_user_malicious["Action – User Execution: Malicious File File: ainstaller-86533005.exe Description: User executes trojanized executable disguised as Panasonic PC Notification software."] class exec_user_malicious action %% Obfuscation and Masquerading obf_files["Obfuscated Files or Information Technique: Multi-layer staged buffers Mechanism: Custom XOR/RC4 decoding Extraction: Five-byte EOF trailer from image carriers."] class obf_files malware mask_file_type["Masquerading: Masquerade File Type Description: Using image extensions (gif, jpg, png, db) to hide encrypted payloads."] class mask_file_type evasion %% Proxy Execution proxy_sys_bin["System Binary Proxy Execution Target 1: Tencent UxEnhanceHost loading UxEnhance64.dll Target 2: Philips/Speech Processing Solutions host loading XPSPLOG.dll"] class proxy_sys_bin action %% Persistence persist_sched_task["Scheduled Task/Job: Scheduled Task Module: VirtuOne Mechanism: RPC calls to Task Scheduler via \pipeatsvc Goal: Create hidden repeating tasks."] class persist_sched_task persistence %% Defense Evasion evade_def_impair["Defense Impairment Action: Patching ntdll.dll!NtTraceEvent"] class evade_def_impair evasion evade_selective_excl["Selective Exclusion Tool: PowerShell Command: Add-MpPreference -ExclusionPath Goal: Add Windows Defender exclusions."] class evade_selective_excl evasion %% Final Stage proxy_rundll32["System Binary Proxy Execution: Rundll32 File: rundll32.dat Export: Edge Action: Installs and starts malicious service."] class proxy_rundll32 action malware_sauron["Malware: Sauron Type: Malicious Service Capability

Flusso di Attacco

Narrativa dell’Attacco & Comandi: L’avversario cerca di scaricare un payload di seconda fase utilizzando un servizio di archiviazione cloud legittimo per mimetizzarsi con il traffico normale. L’attaccante utilizza un one-liner PowerShell per simulare un caricatore che effettua una richiesta a un URL conosciuto SilverFox Alibaba OSS: https://jun616.oss-cn-beijing.aliyuncs.com/tad/payload.exe. Questa azione è intesa a bypassare filtri di dominio semplici sfruttando la reputazione di aliyuncs.com mentre si utilizza il percorso specifico malevolo definito nella regola di rilevamento.

Script di Test di Regressione:

# Simulazione di Indicatore di Rete del Caricatore SilverFox
# Questo script tenta di connettersi all'URL specifico monitorato dalla regola Sigma.

$targetUrl = "https://jun616.oss-cn-beijing.aliyuncs.com/tad/test_file.txt"
Write-Host "[!] Simulazione di connessione di rete SilverFox a: $targetUrl"

try {
    # Utilizzando Invoke-WebRequest per generare la telemetria HTTP proxy standard
    $response = Invoke-WebRequest -Uri $targetUrl -Method Get -UseBasicParsing
    Write-Host "[+] Richiesta completata. Codice di Stato: $($response.StatusCode)"
}
catch {
    # Ci aspettiamo un errore 404 o di connessione se l'URL non ospita effettivamente un file,
    # ma il log proxy registrerà comunque il tentativo.
    Write-Host "[-] Richiesta tentata. Controllare i log proxy per il tentativo di connessione."
}

Comandi di Pulizia:

# Nessun cambiamento persistente apportato da questa simulazione; nessuna pulizia richiesta.
Write-Host "[*] Pulizia simulazione completata."

Unisciti alla piattaforma Detection as Code di SOC Prime per migliorare la visibilità sulle minacce più rilevanti per il tuo business. Per aiutarti a iniziare e aumentare immediatamente il valore, prenota ora un incontro con gli esperti di SOC Prime.

Proof of Value