Il Demone Arriva Più Tardi: Un Havoc Stager Si Nasconde Dietro Microsoft Defender DLP

Riepilogo

Gli attori delle minacce in Brasile stanno distribuendo fatture elettroniche contraffatte NF-e allegati ZIP che consegnano un installatore MSI dannoso. L’MSI rilascia una falsa DLL Microsoft Defender Endpoint DLP che funziona effettivamente come uno stager Havoc. Una volta lanciato, lo stager si connette a un server di comando e controllo remoto, recupera un payload Havoc in memoria e crea persistenza attraverso un script di accesso valore di registro. Varianti simili sono state osservate anche su domini registrati in Malesia utilizzando lo stesso wrapper di consegna.

Indagine

LevelBlue SpiderLabs ha analizzato l’archivio ZIP, il VBS dropper e il pacchetto MSI, scoprendo un binario Microsoft firmato, mpextms.exe, accoppiato con un endpointdlp.dll stager non firmato. Lo stager conteneva valori di configurazione in chiaro, inclusi l’host di comando e controllo, i percorsi URL e una stringa di mutex. Le catture di rete hanno rivelato traffico GET e POST a indirizzi IP specifici insieme a distinti valori di user-agent. I ricercatori hanno identificato nove varianti di stager correlate che condividevano gli stessi metadati di versione e import hash.

Mitigazione

I difensori dovrebbero rilevare le DLL non firmate che si spacciano per componenti Microsoft Defender Endpoint DLP o Dragon Data Protection, monitorare le modifiche a HKCUEnvironmentUserInitMprLogonScript, e allertare sul valore di mutex noto. La regola YARA pubblicata dovrebbe essere distribuita per rilevare lo stager prima che possa caricare il payload Havoc. I team di sicurezza dovrebbero anche verificare le firme Authenticode su tutti i binari a marchio Microsoft consegnati all’interno di archivi.

Risposta

Se viene rilevata questa attività, bloccare gli indirizzi IP e i domini associati, mettere in quarantena i file MSI e DLL e rimuovere la voce di script di accesso registro dannosa. Eseguire una verifica forense dell’host per confermare che nessun payload Havoc in memoria rimanga attivo e ruotare le credenziali per gli utenti interessati. I team aziendali rilevanti devono essere notificati e le protezioni email devono essere aggiornate per bloccare allegati simili a tema NF-e.

Esecuzione della Simulazione

Prerequisito: Il Controllo Pre-volo di Telemetria e Baseline deve essere superato.

Razionale: Questa sezione dettaglia l’esecuzione precisa della tecnica dell’avversario (TTP) progettata per attivare la regola di rilevamento. I comandi e la narrativa DEVONO riflettere direttamente le TTP identificate e mirano a generare la telemetria esatta prevista dalla logica di rilevamento.

• Narrativa dell’Attacco & Comandi:
  Un attaccante che ha già acquisito un punto d’appoggio iniziale sulla macchina della vittima desidera mantenere la persistenza tra i logon degli utenti. Scelgono il valore UserInitMprLogonScript perché viene eseguito prima che la shell dell’utente inizi, fornendo un’esecuzione precoce del codice. L’attaccante posiziona un binario nascosto mpextms.exe (una versione rinominata di rundll32.exe) nella cartella AppData dell’utente e crea una DLL dannosa endpointdlp.dll che esegue il dump delle credenziali. Impostando il valore del registro su "%APPDATA%mpextms.exe" "%APPDATA%endpointdlp.dll", l’attaccante garantisce che ad ogni accesso la DLL venga caricata lateralmente tramite il rundll32.exe proxy firmato, soddisfacendo i T1218.007 and T1027.013 evitando le liste bianche binarie ingenue.

• Script per il Test di Regressione:

  # -------------------------------------------------
  # Step 1: Rilascia i binari dannosi (simulato)
  $payloadDir = "$env:APPDATAMalicious"
  New-Item -ItemType Directory -Path $payloadDir -Force | Out-Null
  
  # Simulato 'mpextms.exe' – usando rundll32.exe rinominato per realismo
  $src = "$env:SystemRootSystem32rundll32.exe"
  $dstExe = Join-Path $payloadDir "mpextms.exe"
  Copy-Item -Path $src -Destination $dstExe -Force
  
  # DLL dannosa simulata (file vuoto per scopi di test)
  $dllPath = Join-Path $payloadDir "endpointdlp.dll"
  New-Item -ItemType File -Path $dllPath -Force | Out-Null
  
  # Step 2: Crea la voce di persistenza nel registro
  $regPath = 'HKCU:Environment'
  $regName = 'UserInitMprLogonScript'
  $regValue = "`"$dstExe`" `"$dllPath`""
  Set-ItemProperty -Path $regPath -Name $regName -Value $regValue -Force
  
  Write-Host "Voce di persistenza creata: $regName = $regValue"
  # -------------------------------------------------

• Comandi di Pulizia:

  # Rimuovi la voce di persistenza del registro
  Remove-ItemProperty -Path 'HKCU:Environment' -Name 'UserInitMprLogonScript' -ErrorAction SilentlyContinue
  
  # Elimina i file rilasciati
  $payloadDir = "$env:APPDATAMalicious"
  Remove-Item -Path $payloadDir -Recurse -Force -ErrorAction SilentlyContinue
  
  Write-Host "Pulizia completata."