Catena di infezione di Qilin EDR Killer

Riepilogo

Il rapporto copre un caricatore a più fasi consegnato come msimg32.dll trojanizzata che può disabilitare o rimuovere oltre 300 prodotti di rilevamento e risposta degli endpoint. Il caricatore combina avanzati abusi SEH/VEH, tecniche di driver del kernel e breakpoint hardware per eludere i hook in modalità utente e uccidere i processi di sicurezza. L’attività è collegata all’ecosistema di ransomware Qilin e viene fornita con un driver personalizzato derivato dagli strumenti ThrottleStop. Il risultato finale è un payload dedicato per uccidere i EDR che termina i servizi di sicurezza e può riattivare il controllo dell’attaccante ripristinando o neutralizzando la logica del callback dell’integrità del codice.

Indagine

I ricercatori hanno decodificato all’indietro la DLL malevola, il suo caricatore PE e due driver ausiliari, rwdrv.sys e hlpdrv.sys. L’analisi descrive come il caricatore costruisce una tabella delle politiche degli slot syscall, altera il dispatcher delle eccezioni ed esegue l’hooking dell’IAT per reindirizzare l’esecuzione. Utilizza quindi la gestione delle eccezioni vettoriali per organizzare e avviare un payload basato su shell32. Lo strato del driver espone l’accesso alla memoria fisica grezza ed è sfruttato per rimuovere o disabilitare i callback del kernel correlati a EDR, nonché per terminare i processi protetti tramite un’interfaccia IOCTL personalizzata.

Mitigazione

Utilizzare difese stratificate ed evitare la dipendenza da un singolo controllo EDR. Monitorare per attività di caricamento driver anomale, utilizzo sospetto di IOCTL di memoria fisica e cambiamenti inaspettati nelle strutture dei callback del kernel. Prevenire il side-loading delle DLL dove gli attaccanti sostituiscono le librerie di sistema legittime, e aggiungere copertura per l’evasione stile breakpoint hardware. Mantenere aggiornate le firme di rete e degli endpoint, comprese le regole degli strumenti come ClamAV e Snort.

Risposta

Se rilevato, isolare l’endpoint, fermare il processo malevolo e scaricare eventuali driver sospetti. Catturare immagini di memoria completa per la forense, controllare specificamente per rwdrv.sys e hlpdrv.sys, e convalidare l’integrità dei callback del kernel e della telemetria di sicurezza correlata. Distribuire rilevazioni aggiornate per il nome del file msimg32.dll, eventi di caricamento del driver e il pattern IOCTL 0x2222008. Completare una revisione dell’integrità del sistema e recuperare dai backup noti e affidabili se non si può stabilire nuovamente la fiducia nell’host.

Esecuzione della simulazione

Prerequisito: Il controllo pre-volo della telemetria e della baseline deve essere completato con successo.

Motivazione: Questa sezione dettaglia l’esecuzione precisa della tecnica dell’avversario (TTP) progettata per attivare la regola di rilevamento. I comandi e la narrativa DEVONO riflettere direttamente i TTP identificati e mirare a generare la telemetria esatta prevista dalla logica di rilevamento.

• Narrativa e Comandi dell’Attacco:

  Un attaccante crea un binario nativo C minimale che carica esplicitamente ntdll.dll e chiama NtTraceEvent tramite il suo nome esportato. Il binario è compilato sull’host di destinazione utilizzando gli strumenti di compilazione Visual C++, quindi eseguito. Poiché la chiamata è effettuata attraverso la superficie API regolare di Windows, l’evento di creazione del processo registra l’immagine (ntdll.dll) e il campo CallTrace contiene la stringa “NtTraceEvent”, soddisfando la condizione di Sigma. L’attaccante quindi elimina il binario per ridurre i reperti forensi.

• Script di Test di Regressione:

  # ---------------------------------------------------------
  # Fase 1 – Creare una sorgente C temporanea che chiama NtTraceEvent
  # ---------------------------------------------------------
  $src = @"
  #include <windows.h>
  typedef NTSTATUS (NTAPI *pNtTraceEvent)(HANDLE, ULONG, PVOID, ULONG);
  int main() {
      HMODULE hNtdll = LoadLibraryA("ntdll.dll");
      if (!hNtdll) return 1;
      pNtTraceEvent NtTraceEvent = (pNtTraceEvent)GetProcAddress(hNtdll, "NtTraceEvent");
      if (!NtTraceEvent) return 1;
      // Chiamata minima – gli argomenti sono in gran parte ignorati per questa demo
      NtTraceEvent(NULL, 0, NULL, 0);
      return 0;
  }
  "@
  $tmpPath = "$env:TEMPNtTraceDemo.c"
  $exePath = "$env:TEMPNtTraceDemo.exe"
  $src | Set-Content -Path $tmpPath -Encoding ASCII
  
  # ---------------------------------------------------------
  # Fase 2 – Compilare usando cl.exe (presuppone strumenti di compilazione Visual C++ installati)
  # ---------------------------------------------------------
  $vcVars = "$env:ProgramFiles(x86)Microsoft Visual Studio2019BuildToolsVCAuxiliaryBuildvcvars64.bat"
  if (Test-Path $vcVars) {
      & cmd /c "`"$vcVars`" && cl /nologo /O2 /Fe:`"$exePath`" `"$tmpPath`""
  } else {
      Write-Error "Strumenti di compilazione Visual C++ non trovati. Installarli prima di eseguire questo script."
      exit 1
  }
  
  # ---------------------------------------------------------
  # Fase 3 – Eseguire il binario (questo dovrebbe attivare la regola)
  # ---------------------------------------------------------
  & $exePath
  
  # ---------------------------------------------------------
  # Fase 4 – Pulire i reperti
  # ---------------------------------------------------------
  Remove-Item -Force $tmpPath, $exePath

• Comandi di Pulizia:

  # Assicurarsi che eventuali file residui siano rimossi (eseguire come admin)
  Get-ChildItem "$env:TEMPNtTraceDemo.*" -ErrorAction SilentlyContinue | Remove-Item -Force