KimJongRAT Continua ad Evolversi Attraverso l’Utilizzo di Siti Autorevoli

Riassunto

È stata osservata una recente campagna KimJongRAT che utilizza GitHub Releases e Google Drive come piattaforme affidabili per ospitare e distribuire malware. Questa variante aggiornata combina funzionalità di InfoStealer e RAT facendo affidamento su tecniche di Living Off Trusted Sites (LOTS) per ridurre la possibilità di rilevamento. Si è anche evoluta per recuperare dinamicamente indirizzi di comando e controllo da Google Drive, riducendo la necessità di ripetute ricompilazioni.

Indagine

L’indagine ha esaminato una campagna di maggio 2026 in cui le vittime sono state reindirizzate tramite link abbreviati ad archivi ZIP ospitati su GitHub contenenti file LNK dannosi. I ricercatori hanno mappato la catena di esecuzione, inclusi gli abusi di mshta.exe, VBScript e PowerShell per avviare payload a più stadi. L’analisi ha anche scoperto una nuova capacità che coinvolge il deployment di MeshAgent per l’accesso remoto a lungo termine.

Mitigazione

Le organizzazioni dovrebbero applicare controlli severi sull’esecuzione dei file LNK e mshta.exe quando provengono da posizioni non affidabili. È essenziale monitorare il comportamento sospetto di PowerShell, inclusi comandi codificati in Base64 e download da servizi cloud come Google Drive e GitHub. Limitare strumenti non autorizzati di gestione remota come MeshAgent può ulteriormente limitare l’impatto di una compromissione.

Risposta

Se viene rilevata questa attività, isolare immediatamente gli host interessati per prevenire un movimento laterale e l’esfiltrazione dei dati. Condurre analisi forense della memoria per identificare eventuali DLL o componenti PowerShell dannosi attivi. Esaminare i log di accesso di Google Drive e GitHub per attività insolita legata all’infrastruttura identificata e aggiornare le rilevazioni degli endpoint con gli indicatori di compromissione estratti.

Esecuzione della Simulazione

Prerequisito: Il controllo preliminare di Telemetria & Baseline deve essere superato.

Ragione: Questa sezione dettaglia l’esecuzione precisa della tecnica avversaria (TTP) progettata per attivare la regola di rilevamento. I comandi e la narrativa DEVONO riflettere direttamente i TTP identificati e mirano a generare la telemetria esatta prevista dalla logica di rilevamento. Esempi astratti o non correlati porteranno a una diagnosi errata.

• Narrativa dell’Attacco & Comandi: L’avversario ha stabilito con successo un punto d’appoggio e sta tentando di eseguire il payload KimJongRAT. Per eludere il rilevamento basato su firma semplice, il malware è progettato per eseguire uno script PowerShell in una finestra nascosta, bypassando la politica di esecuzione e passando un nome di file log specifico come parametro per gestire la sua configurazione criptata. L’obiettivo è quello di stabilire un trojan di accesso remoto (RAT) persistente e invisibile sulla macchina della vittima. Eseguiremo il modello di comando esatto identificato nella regola di rilevamento per validare la logica “selection_execute”.

• Script di Test di Regressione:

  # Simulazione del modello di esecuzione di KimJongRAT
  # Questo crea uno script dummy per soddisfare il requisito '-File'
  "Write-Output 'Simulating KimJongRAT Payload'" | Out-File -FilePath "1.ps1" -Encoding ascii
  
  # Esecuzione del comando che attiva la regola di rilevamento
  # Nota: Questo è eseguito in modo da imitare esattamente gli argomenti della linea di comando.
  Start-Process powershell.exe -ArgumentList "-ExecutionPolicy Bypass -WindowStyle Hidden -NoProfile -File 1.ps1 -FileName 1.log" -WindowStyle Hidden

• Comandi di Pulizia:

  # Rimuovere i file dummy creati durante la simulazione
  Remove-Item -Path "1.ps1" -ErrorAction SilentlyContinue
  Remove-Item -Path "1.log" -ErrorAction SilentlyContinue