La Campagna DarkBlinders Prende di Mira le Vittime con Tattiche di Spionaggio Avanzate

Sommario

DarkBlinders è una campagna di cyber-spionaggio attiva che prende di mira organizzazioni governative e diplomatiche in Israele e nella Regione del Kurdistan dell’Iraq. L’attore maligno si affida a esche di phishing sofisticate, comprese applicazioni di finto videoconferenze e repliche di servizi di cloud-drive, per distribuire malware personalizzati. L’operazione sfrutta anche repository GitHub per il comando-e-controllo (C2) e utilizza l’attivazione selettiva per la sua backdoor di seconda fase.

Indagine

Dream Research Labs ha condotto un’analisi approfondita della campagna DarkBlinders e ha scoperto una catena di infezione a più stadi che coinvolge un’applicazione fittizia chiamata StarkMeet. I ricercatori hanno decompilato il malware e ottenuto accesso di sola lettura all’infrastruttura C2 basata su GitHub dell’attore minaccioso. Questa visibilità ha permesso di identificare i compiti delle vittime e osservare l’esfiltrazione di oltre 1 GB di dati da un ambiente cloud governativo.

Mitigazione

Le organizzazioni dovrebbero imporre controlli rigidi sulle installazioni di software non verificato e monitorare connessioni in uscita insolite verso servizi condivisi come GitHub da sistemi non di sviluppo. È inoltre consigliato un aumento della sorveglianza sui link di condivisione cloud-drive e sugli allegati email sospetti. Monitorare esecuzioni non autorizzate di PowerShell tramite AppDomainManager o caricamenti in memoria può ulteriormente aiutare a identificare attività associate a questa tecnica di caricamento.

Risposta

Quando viene rilevata l’attività di DarkBlinders, isolare gli host interessati per fermare ulteriori esfiltrazioni di dati e preservare la memoria per l’esame forense dei payload in memoria. Verificare i token di accesso personali di GitHub e i log di accesso ai repository se l’attività sospetta coinvolge l’ambiente di sviluppo dell’organizzazione. Reimpostare le credenziali per tutti gli account che possono essere stati esposti tramite l’infrastruttura di phishing identificata.

Esecuzione di Simulazione

• Narrazione dell’Attacco & Comandi: L’avversario mira a stabilire persistenza e accesso remoto utilizzando il toolkit DarkBlinders. Dopo aver ottenuto l’accesso iniziale, l’attaccante distribuisce un’applicazione esca chiamata StarkMeet.exe. Per evitare il rilevamento, il malware dell’attaccante esegue un comando shell per scaricare ulteriori payload. In questa simulazione, creeremo manualmente un dummy StarkMeet.exe e lo attiveremo per eseguire cmd.exe, che corrisponde alla logica della regola: (StarkMeet.exe) E (cmd).

• Script di Test di Regressione:

  # Script di Simulazione: Trigger del Componente DarkBlinders
  # 1. Creare un file dummy per rappresentare il componente DarkBlinders
  $dummyPath = "$env:TEMPStarkMeet.exe"
  New-Item -Path $dummyPath -ItemType File -Force
  
  # 2. Utilizzare un piccolo payload per fare in modo che 'l'eseguibile' esegua effettivamente un comando
  # Per scopi di simulazione, utilizzeremo un involucro PowerShell per lanciare il processo 'malevolo'
  # che imita il comportamento del componente che chiama cmd.exe.
  
  Write-Host "[+] Simulazione dell'esecuzione del componente DarkBlinders..."
  
  # Usiamo Start-Process per simulare il processo StarkMeet.exe che genera cmd.exe
  # Nota: In uno scenario reale, il binario stesso eseguirebbe l'avvio.
  # Per attivare la specifica logica 'Image' della regola Sigma, dobbiamo rinominare un processo o
  # simulare l'esecuzione di quel nome file specifico.
  
  # Poiché non possiamo facilmente compilare un binario reale qui, simuliamo l'evento di creazione del processo
  # che Sysmon vedrebbe quando StarkMeet.exe avvia cmd.exe.
  
  Start-Process -FilePath "$env:TEMPStarkMeet.exe" -ArgumentList "cmd.exe /c echo 'Triggering Detection'" -ErrorAction SilentlyContinue
  
  # Poiché non possiamo effettivamente 'eseguire' un file non binario, utilizziamo questo comando per creare
  # il modello di telemetria esatto tramite una simulazione di creazione di processo se possibile,
  # oppure semplicemente riconosciamo che per attivare la regola, il file deve esistere.
  
  # APPROCCIO REALISTICO PER IL TEST:
  # Creeremo un piccolo eseguibile o useremo un modo noto per nominare un processo.
  # Per questo script, assumiamo che l'ambiente ci consenta di rinominare uno strumento di sistema in StarkMeet.exe
  Copy-Item "C:WindowsSystem32cmd.exe" -Destination "$env:TEMPStarkMeet.exe"
  Start-Process -FilePath "$env:TEMPStarkMeet.exe" -ArgumentList "/c echo DetectionTriggered"
  
  Write-Host "[+] Comando di simulazione inviato. Controlla SIEM per StarkMeet.exe + cmd/powershell."

• Comandi di Ripristino:

  # Pulizia degli artefatti della simulazione
  Remove-Item -Path "$env:TEMPStarkMeet.exe" -Force -ErrorAction SilentlyContinue
  Write-Host "[+] Pulizia completata."