Khmer Shadow prende di mira enti governativi cambogiani in una campagna di spionaggio

SOC Prime Team

Segui

Khmer Shadow prende di mira enti governativi cambogiani in una campagna di spionaggio

Detection stack

AIDR
Alert
ETL
Query

Rapporto
Flusso di Attacco
Rilevamenti
Simulazioni

Sommario

Un nuovo cluster di minacce identificato tracciato come Khmer Shadow sta conducendo operazioni orientate allo spionaggio contro organizzazioni governative cambogiane, in particolare nei settori della difesa e delle opere pubbliche. Gli aggressori utilizzano un loader personalizzato in C++ chiamato NIGHTFORGE per caricare un payload Havoc Demon direttamente nella memoria. La campagna impiega anche metodi avanzati di evasione, inclusa la rimozione del hooking di NTDLL e la risoluzione delle syscall Hell’s Gate, per ridurre la visibilità ed eludere i controlli di sicurezza.

Indagine

Acronis TRU ha scoperto due campagne separate che utilizzavano archivi autoestraenti a tema incontro come metodo iniziale di consegna. Gli analisti hanno esaminato il loader NIGHTFORGE e documentato la sua capacità di risolvere le syscall in modo dinamico e rimuovere il hook di NTDLL per nascondere l’attività dannosa. L’indagine ha anche collegato diversi ambienti di comando e controllo esaminando le impronte digitali JARM condivise e i certificati di origine Cloudflare riutilizzati.

Mitigazione

Le organizzazioni dovrebbero implementare un monitoraggio rigoroso per comportamenti sospetti di DLL sideloading, soprattutto quando sono coinvolte binari firmate legittimamente come VMwareNamespaceCmd.exe . I difensori dovrebbero anche monitorare la creazione non autorizzata di attività pianificate e processi figlio insoliti, inclusi gpupdate.exe, lanciati da processi genitori inaspettati. La protezione degli endpoint in grado di rilevare l’attività delle syscall dirette e i payload residenti in memoria può ulteriormente migliorare la copertura.

Risposta

Se viene rilevata un’attività Khmer Shadow, i sistemi compromessi dovrebbero essere isolati immediatamente per interrompere ulteriori comunicazioni di comando e controllo. Gli investigatori dovrebbero eseguire un’analisi forense della directory %LOCALAPPDATA% per identificare eventuali artefatti persistenti relativi a VMwareNamespace. I registri di rete dovrebbero essere esaminati per il traffico HTTPS in uscita verso i domini noti di comando e controllo, e le credenziali utilizzate sui sistemi compromessi dovrebbero essere reimpostate.

"graph TB %% Class Definitions Section classDef action fill:#99ccff classDef malware fill:#ff9999 classDef tool fill:#cccccc classDef process fill:#ccffcc classDef network fill:#ffff99 %% Node Definitions action_phishing["Action – T1566.001 Allegato Spearphishing Descrizione: Invio di allegati dannosi tramite email. File: Contact_Letter_To_Ms_Pech_ICB_Cambodia_On_Collaboration.pdf.exe"] class action_phishing action proc_sideload["T1218 Esecuzione Proxy Binario di Sistema Descrizione: Utilizzo di binari legittimi per eseguire codice dannoso. Binario: VMwareNamespaceCmd.exe DLL Caricata: vmtools.dll"] class proc_sideload process malware_nightforge["Malware: Loader NIGHTFORGE Azione – T1140 Deoffuscazione/Decodifica di File o Informazioni Descrizione: Utilizzo di decifratura XOR personalizzata per decodificare lo shellcode. Azione – T1027.007 Risoluzione Dinamica API Descrizione: Eludere il rilevamento EDR utilizzando la risoluzione delle syscall Hell's Gate."] class malware_nightforge malware action_persistence["T1137 Avvio Applicazioni Office Descrizione: Utilizzo delle API COM per garantire la persistenza. Meccanismo: Attività pianificata registrata chiamata VMwareNamespace Frequenza: Si ripete ogni 10 minuti."] class action_persistence action tool_kaynldr["Strumento: KaynLdr Azione – T1620 Caricamento Riflettente di Codice Descrizione: Caricamento riflettente dello stadio finale in memoria."] class tool_kaynldr tool malware_havoc["Malware: Impianto Havoc Demon Descrizione: Impianto di fase finale in esecuzione in memoria."] class malware_havoc malware action_c2["T1102.002 Servizio Web: Comunicazione Bidirezionale Descrizione: Stabilire il Comando e Controllo tramite HTTPS POST. URL C2: www[.]sharingfile[.]cloud Evasione: Imita il traffico standard del browser Chrome."] class action_c2 network %% Connections Section %% Phishing leads to binary proxy execution action_phishing –>|leads_to| proc_sideload %% Proxy execution loads the NIGHTFORGE loader proc_sideload –>|executes| malware_nightforge %% NIGHTFORGE establishes persistence malware_nightforge –>|establishes| action_persistence %% NIGHTFORGE uses KaynLdr for reflective loading malware_nightforge –>|uses| tool_kaynldr %% KaynLdr injects Havoc Demon tool_kaynldr –>|injects| malware_havoc %% Havoc Demon communicates via C2 malware_havoc –>|establishes C2 via| action_c2 "

Flusso di Attacco

Narrazione dell’Attacco & Comandi: Un avversario ha distribuito con successo un impianto Havoc Demon su una workstation all’interno della rete target. Per stabilire Comando e Controllo (C2) ed eludere le difese perimetrali di base, l’impianto è configurato per comunicare con un insieme specifico di domini identificati nella recente intelligence sulle minacce relative all’attività Khmer Shadow. L’impianto inizierà una richiesta HTTP GET a sharingfile.cloud per segnalare la sua presenza e attendere ulteriori istruzioni. Questa azione è progettata per generare un log proxy contenente la stringa di dominio sospetta.

Script di Test di Regressione:

# Script di simulazione per attivare la regola di rilevamento del C2 Khmer Shadow
# Questo imita un check-in C2 tramite una richiesta HTTP a un dominio sospetto.

$C2_Domain = "http://sharingfile.cloud/api/v1/checkin"
$UserAgent = "Havoc-Demon-Implant-v1.0"

Write-Host "[!] Iniziando la comunicazione simulata C2 a: $C2_Domain" -ForegroundColor Red

try {
    # Usando Invoke-WebRequest per simulare l'attività di rete
    # Viene utilizzato un User-Agent personalizzato per imitare una firma di strumento specifica
    $response = Invoke-WebRequest -Uri $C2_Domain -UserAgent $UserAgent -Method Get -ErrorAction SilentlyContinue
    Write-Host "[+] Richiesta inviata con successo (Nota: il fallimento è previsto se il dominio è dirottato/offline)." -ForegroundColor Green
}
catch {
    Write-Host "[+] Tentativo di richiesta. Controllare i log proxy per il tentativo di connessione al dominio sospetto." -ForegroundColor Yellow
}

Comandi di Pulizia:

# Nessuna modifica persistente effettuata da questa simulazione. 
# Pulizia della cronologia dei comandi per rimuovere le tracce della simulazione.
Clear-History
Write-Host "[+] Pulizia completata." -ForegroundColor Green

Unisciti alla piattaforma Detection as Code di SOC Prime per migliorare la visibilità sulle minacce più rilevanti per il tuo business. Per aiutarti a iniziare e aumentare immediatamente il valore, prenota ora un incontro con gli esperti di SOC Prime.

Iscriviti gratis