DarkGate Sotto il Cofano

Sintesi

DarkGate è un loader basato su Delphi venduto come Malware-as-a-Service nei mercati criminali. Include funzionalità complete di RAT, risoluzione dinamica delle API e trucchetti di evasione stratificati come set di caratteri base64 personalizzati, syscall in stile Union-API syscall caricamento e iniezione APC. Lo strumento, attribuito al venditore “RastaFarEye”, è stato adottato da attori come TA577 e Ducktail. Comunica con il C2 su HTTP con payload offuscati e può distribuire utility di desktop remoto, rubare token Discord e eseguire una shell inversa interattiva.

Analisi del Malware DarkGate

La pubblicazione offre un walkthrough approfondito di reverse engineering dell’eseguibile DarkGate, spiegandone la configurazione personalizzata di scrambling, la generazione di BotID basata su XOR e il logging crittografato. Elenca le tecniche di persistenza del loader, i percorsi di escalation dei privilegi, i flussi di lavoro di furto di token e l’abuso di binari legittimi come PsExec ed Extexport per il caricamento laterale di DLL. Il documento descrive ulteriormente i modelli di comunicazione C2, le credenziali predefinite hVNC e le tipiche porte HTTP sfruttate (2351 e 9999).

Mitigazione

Le squadre di sicurezza dovrebbero monitorare la creazione dei file e delle voci Run nel registro, invalidare immediatamente o bloccare le credenziali hVNC predefinite e rilevare l’uso di PsExec ed Extexport per il caricamento non autorizzato di DLL. Le analisi comportamentali dovrebbero coprire l’utilizzo di syscall Union-API, l’iniezione APC tramite NtTestAlert e lo spoofing dell’ID del processo genitore. Le difese di rete possono segnalare porte HTTP insolite e tentare di decodificare gli alfabeti base64 personalizzati di DarkGate per rilevare il traffico C2.

Risposta

Una volta confermata l’attività di DarkGate, isolare l’endpoint interessato, raccogliere gli artefatti documentati, terminare i processi malevoli e pulire tutti i punti di persistenza. Ruotare le credenziali esposte e bloccare i domini C2 noti e gli intervalli IP. Una revisione forense approfondita dovrebbe identificare tutti i payload secondari e verificare che tutte le DLL introdotte tramite Extexport o loader correlati siano state eradicate.

Esecuzione della Simulazione

Prerequisito: Il Controllo Pre-flight di Telemetria & Baseline deve essere stato superato.

• Narrativa & Comandi dell’Attacco:
  L’avversario simulato ha già infiltrato l’endpoint e cerca di stabilire un accesso RDP persistente. Per prima cosa, entità a cui fa riferimento, archiviano le credenziali con cmdkey, quindi utilizzano psexec.exe per passare lateralmente e infine avviano un payload PowerShell che lascia un piccolo programma key-logger. Ogni passaggio è progettato per generare gli eventi di creazione di processi che la regola di rilevamento monitora.

  1. Raccolta delle Credenziali (T1552.001) – Archiviare una voce di credenziali creata ad arte che corrisponde al modello_selection_cmdkey della regola.
  2. Movimento Laterale (T1219) – Eseguire psexec.exe su un host remoto, invocando un comando che genera una nuova sessione PowerShell.
  3. Esecuzione PowerShell (T1059.001) – Eseguire un comando PowerShell che carica uno script malevolo (simulato qui con un comando innocuo codificato in base64).
  4. Distribuzione Keylogger (T1056.001) – Compilare ed eseguire un minuscolo binario C che chiama GetAsyncKeyState, generando la corrispondenza del API campo.

• Script di Test di Regressione:

  # Script di Simulazione DarkGate – PowerShell
  # --------------------------------------------------
  # 1. Voce delle credenziali Cmdkey (corrisponde al modello di rilevamento)
  $generic = '""'                         # generico vuoto come utilizzato da DarkGate
  $user    = 'SafeMode'                   # nome utente che la regola si aspetta
  $pass    = 'darkgatepassword0'          # password che la regola si aspetta
  cmd.exe /c cmdkey /generic:$generic /user:$user /pass:$pass
  
  # 2. Movimento laterale PsExec (il binario deve esistere nel PATH o specificarne il percorso completo)
  $remoteHost = '10.0.0.5'
  $psexecPath = "$env:SystemRootSystem32psexec.exe"
  if (Test-Path $psexecPath) {
      & $psexecPath \$remoteHost -accepteula cmd /c "whoami"
  } else {
      Write-Host "PsExec non trovato in $psexecPath – saltando questo passaggio."
  }
  
  # 3. Esecuzione PowerShell (comando innocuo codificato in base64)
  $psCommand = 'Write-Output "PowerShell payload executed"'
  $encoded = [Convert]::ToBase64String([Text.Encoding]::Unicode.GetBytes($psCommand))
  powershell.exe -EncodedCommand $encoded
  
  # 4. Compilazione ed esecuzione dello stub del keylogger
  $cSource = @"
  #include <windows.h>
  int main() {
      // Chiamata semplice a GetAsyncKeyState per soddisfare la corrispondenza API
      GetAsyncKeyState(VK_RETURN);
      return 0;
  }
  "@
  $srcPath = "$env:TEMPkeylog_stub.c"
  $exePath = "$env:TEMPkeylog_stub.exe"
  $cSource | Set-Content -Path $srcPath -Encoding ASCII
  # Compilare con Visual C++ (cl.exe deve essere nel PATH)
  cl.exe /nologo /O2 /Fe:$exePath $srcPath
  if (Test-Path $exePath) {
      & $exePath
  }

• Comandi di Pulizia:

  # Rimuovere la voce delle credenziali
  cmd.exe /c cmdkey /delete:$generic
  
  # Eliminare i file temporanei
  Remove-Item -Force -ErrorAction SilentlyContinue "$env:TEMPkeylog_stub.c"
  Remove-Item -Force -ErrorAction SilentlyContinue "$env:TEMPkeylog_stub.exe"
  
  # Opzionale: terminare eventuali processi psexec o powershell lasciati aperti dallo script
  Get-Process -Name psexec, powershell -ErrorAction SilentlyContinue | Stop-Process -Force