ChainShell: MuddyWater e il MaaS russo

Riepilogo

MuddyWater, un attore di spionaggio collegato all’Iran, sta sfruttando la piattaforma malware-as-a-service russa TAG-150 per consegnare CastleRAT e un più recente agente C2 abilitato per blockchain in Node.js, tracciato come ChainShell, contro obiettivi israeliani e di alto valore. L’attività è supportata da un server web C2 esposto e mal configurato, da uno script di deployer PowerShell (reset.ps1) e da payload PE nascosti tramite steganografia. Diverse versioni di CastleRAT (inclusi Build 120 e Build 13) contengono identificatori hard-coded condivisi che puntano allo stesso lignaggio MaaS. L’infrastruttura backend sembra essere basata su campagne, utilizzando domini condivisi (ad esempio, serialmenot.com) e credenziali JWT per operazione per separare l’accesso e il tracciamento tra le implementazioni.

Indagine

JUMPSEC ha esaminato l’host C2 esposto, recuperato 15 campioni di malware e collegato la logica di distribuzione di reset.ps1 alla consegna sia di ChainShell che di molteplici build di CastleRAT. Gli investigatori hanno anche correlato i certificati di firma del codice (Amy Cherne e Donald Gay) visti negli strumenti noti di MuddyWater all’installatore MSC TAG-150, formandone una pista di attribuzione ad alta fiducia. Sono state osservate ulteriori sovrapposizioni tra i campioni nei marcatori di build hard-coded, nelle convenzioni di denominazione delle attività programmate ricorrenti e negli ID di campagna JWT incorporati negli strumenti e negli artefatti lato server.

Mitigazione

Monitora per reset.ps1, attività programmate associate e artefatti unici di mutex o percorso di file collegati a CastleRAT e ChainShell. Blocca l’infrastruttura TAG-150 nota, inclusi serialmenot.com, ttrdomennew.com e sharecodepro.com, e esamina l’installazione di componenti Node.js guidata da PowerShell. Imposta controlli severi di firma del codice e convalida i certificati sospetti rispetto al materiale di firma noto collegato a MuddyWater.

Risposta

Se vengono trovati indicatori, isola gli endpoint interessati, cattura immagini complete del disco e della memoria e cerca residui aggiuntivi di CastleRAT e ChainShell. Revoca o considera non attendibili i certificati di firma del codice compromessi, reimposta le credenziali interessate e coordina la segnalazione con i CERT nazionali rilevanti. Rivedi la telemetria di rete per gli schemi di accesso RPC Ethereum e l’uso di JWT legato al flusso di comando e controllo di serialmenot.com.

Esecuzione di Simulazione

Prerequisito: Il Controllo Pre-volo di Telemetria & Baseline deve essere stato superato.

• Narrativa dell’Attacco & Comandi:

  1. Fase 1 – Prepara un semplice server C2 (eseguire sulla macchina dell’attaccante o su una VM controllata). Il server ascolta sulla porta 9999 e ripete i dati ricevuti.

  2. Fase 2 – Sull’host Windows bersaglio, avvia una backdoor PowerShell che apre una connessione TCP al server C2 sulla porta 9999. Il payload utilizza classi native .NET per evitare di creare un eseguibile separato, imitando un approccio “living-off-the-land”.

  3. Fase 3 – Hop proxy opzionale: Lo script PowerShell contatta prima un proxy HTTP locale (che ascolta su 127.0.0.1:8080) che inoltra il traffico TCP al server C2 remoto, dimostrando che la porta di destinazione rimane invariata.

  Questi passaggi producono eventi firewall con DestinationPort = 9999, soddisfacendo la regola Sigma.

• Script di Test di Regressione:

  # -------------------------------------------------
  # Simulazione C2 stile CastleRAT – PowerShell
  # -------------------------------------------------
  # 1. Definisci indirizzo server C2 (sostituisci con l'IP di test)
  $c2Ip = "10.0.0.50"
  $c2Port = 9999
  
  # 2. OPZIONALE: Definisci proxy locale (se vuoi testare hop del proxy)
  $useProxy = $false
  $proxyHost = "127.0.0.1"
  $proxyPort = 8080
  
  # 3. Funzione per aprire un flusso TCP (diretto o tramite proxy)
  function Invoke-C2Connection {
      param (
          [string]$destIp,
          [int]$destPort,
          [bool]$viaProxy
      )
      if ($viaProxy) {
          # Semplice tunnel HTTP CONNECT
          $proxyUri = "http://$proxyHost`:$proxyPort"
          $client = New-Object System.Net.Sockets.TcpClient($proxyHost,$proxyPort)
          $stream = $client.GetStream()
          $connectRequest = "CONNECT $destIp`:$destPort HTTP/1.1`r`nHost: $destIp`r`n`r`n"
          $bytes = [System.Text.Encoding]::ASCII.GetBytes($connectRequest)
          $stream.Write($bytes,0,$bytes.Length)
          # Scarta risposta proxy
          $buffer = New-Object byte[] 1024
          $null = $stream.Read($buffer,0,$buffer.Length)
          Write-Host "[+] Tunnel proxy stabilito"
          return $stream
      } else {
          $client = New-Object System.Net.Sockets.TcpClient($destIp,$destPort)
          Write-Host "[+] Connessione TCP diretta stabilita"
          return $client.GetStream()
      }
  }
  
  # 4. Apri la connessione
  $stream = Invoke-C2Connection -destIp $c2Ip -destPort $c2Port -viaProxy:$useProxy
  
  # 5. Invia un semplice beacon
  $beacon = "CastleRAT Beacon $(Get-Date -Format o)`n"
  $bytes = [System.Text.Encoding]::UTF8.GetBytes($beacon)
  $stream.Write($bytes,0,$bytes.Length)
  Write-Host "[+] Beacon inviato"
  
  # 6. Mantieni aperto il canale per un breve periodo (simula persistenza)
  Start-Sleep -Seconds 15
  
  # 7. Pulizia
  $stream.Close()
  Write-Host "[+] Connessione chiusa"

• Comandi di Pulizia:

  # Assicurati che tutte le connessioni TCP rimanenti siano chiuse
  Get-NetTCPConnection -RemotePort 9999 -State Established | ForEach-Object {
      try {
          $proc = Get-Process -Id $_.OwningProcess -ErrorAction SilentlyContinue
          if ($proc) { Stop-Process -Id $proc.Id -Force }
      } catch {}
  }
  
  # Rimuovi eventuali ascoltatori proxy temporanei se sono stati avviati localmente
  Stop-Process -Name "python" -Force -ErrorAction SilentlyContinue

Osservazioni Aggiuntive & Raccomandazioni di Rafforzamento

1. Arricchisci il Rilevamento Basato su Porte: Combina il controllo della porta con IP/domini C2 noti malevoli, fingerprinting TLS o euristiche di volume di traffico anomalo.
2. Lista di Ammissione dei Servizi Legittimi: Crea una lista di eccezioni per le applicazioni che utilizzano legittimamente le porte 9999 o 8888 (ad esempio, certi strumenti di database o gestione).
3. Basi Comportamentali: Distribuisci modelli statistici per segnalare connessioni in uscita a bassa frequenza a porte ad alto rischio originate da endpoint non server.
4. Contesto del Processo: Correla eventi firewall con il processo di origine (NomeFileImmagine, CommandLine). Segnala connessioni effettuate da processi inaspettati (es. powershell.exe, cmd.exe).

Applicando queste mitigazioni, la resilienza della regola può essere aumentata dall’attuale 2 a un range 4-5 , riducendo drasticamente i falsi positivi mentre si preserva il rilevamento del traffico C2 genuino di CastleRAT.