Il CryptoMiner Non Così Silenzioso: Compilazione di Cryptominer Basata su Endpoint

Riepilogo

Un attore di minacce ha sfruttato una vulnerabilità di Samsung MagicINFO per ottenere l’accesso iniziale a un endpoint gestito. Anziché distribuire un binario pre-costruito, l’attaccante ha compilato un cripto-minatore Monero personalizzato direttamente sull’host compromesso utilizzando compilatori C multipli e utility .NET. Questo approccio ha permesso un’ottimizzazione specifica dell’ambiente ma ha anche prodotto una telemetria EDR altamente visibile a causa dell’improvviso aumento di attività di compilazione.

Indagine

I ricercatori di Huntress hanno identificato l’intrusione attraverso una telemetria EDR insolita associata a un’installazione di Samsung MagicINFO. L’indagine ha tracciato l’attività verso un servizio Apache Tomcat (tomcat9.exe) che eseguiva comandi per scaricare AnyDesk tramite certutil e PowerShell. Gli analisti hanno anche osservato l’attaccante creare un account amministratore locale, disabilitare Windows Defender e eseguire diversi compilatori per costruire il cripto-minatore.

Mitigazione

Le organizzazioni dovrebbero tempestivamente applicare patch a tutte le implementazioni di Samsung MagicINFO esposte a Internet per affrontare le vulnerabilità note. I difensori dovrebbero monitorare i tentativi ripetuti di download di strumenti di accesso remoto (RMM) e l’esecuzione inaspettata di compilatori sugli endpoint. Limitare l’esposizione ad internet del software di gestione della segnaletica digitale può ulteriormente ridurre la superficie di attacco.

Risposta

Quando si rilevano attività di compilazione sospette o download non autorizzati di RMM, isolare immediatamente l’endpoint interessato per impedire ulteriori esecuzioni di payload. Condurre un’indagine forense completa per determinare il vettore di accesso iniziale, inclusi i servizi web vulnerabili. Rivedere gli account utente locali per aggiunte non autorizzate e verificare l’integrità dei controlli di sicurezza come Microsoft Defender.

Esecuzione Simulata

• Narrativa dell’Attacco e Comandi: L’avversario ha ottenuto l’accesso iniziale e cerca di garantire una persistenza a lungo termine e prevenire il rilevamento. L’attaccante crea per prima cosa un utente locale chiamato oldadministrator e li aggiunge al gruppo degli Amministratori locali. Per evitare che Windows Defender segnali i loro successivi strumenti di download, l’attaccante esegue SystemSettingsAdminFlows.exe con l’argomento disable Questa sequenza specifica è progettata per imitare un modello noto utilizzato da alcune famiglie di malware per il cryptomining per indebolire le difese dell’host.

• Script di Test di Regressione:

  # Script di Simulazione: Attiva 'oldadministrator' e rileva Disabilitazione di Defender
  # Nota: Questo script deve essere eseguito con privilegi amministrativi
  
  Write-Host "[+] Avvio Simulazione..." -ForegroundColor Cyan
  
  # 1. Crea il nome utente specifico richiesto dalla regola di rilevamento
  Write-Host "[+] Creazione account: oldadministrator" -ForegroundColor Yellow
  net user oldadministrator Password123! /add
  net localgroup administrators oldadministrator /add
  
  # 2. Simula la disabilitazione di Defender tramite SystemSettingsAdminFlows.exe
  # Usiamo il pattern specifico della linea di comando che la regola sta cercando
  Write-Host "[+] Esecuzione di SystemSettingsAdminFlows.exe con argomento 'disable'" -ForegroundColor Yellow
  Start-Process "C:WindowsSystem32SystemSettingsAdminFlows.exe" -ArgumentList "disable" -ErrorAction SilentlyContinue
  
  Write-Host "[+] Simulazione completata. Controlla il SIEM per avvisi." -ForegroundColor Green

• Comandi di Pulizia:

  # Script di Pulizia: Rimuovi artefatti simulati
  Write-Host "[+] Pulizia degli artefatti di simulazione..." -ForegroundColor Cyan
  
  # Rimuovi l'utente creato
  net user oldadministrator /delete
  
  # Nota: Non 'riattiviamo' Defender tramite script per evitare di alterare lo stato del sistema 
  # a meno che non sia specificamente richiesto per la stabilità dell'ambiente di test.