La Campagna Pawn Storm Distribuisce PRISMEX, Prende di Mira Enti Governativi e Infrastrutture Critiche

Riassunto

Se viene rilevata l’attività di PRISMEX, isolare immediatamente i sistemi interessati, acquisire la memoria volatile per l’estrazione di assemblaggi .NET in memoria e cercare i distintivi carichi steganografici PNG e le voci di registro hijack COM. Bloccare tutti Filen.io sottodomini e il dominio wellnesscaremed.com, e applicare rilevazione e blocco basati su IOC per i nomi di file identificati e i task pianificati. domain, and apply IOC-based detection and blocking for the identified filenames and scheduled task.

Risposta

Le organizzazioni dovrebbero correggere CVE-2026-21509 e CVE-2026-21513 senza ritardo, limitare l’accesso ai servizi di archiviazione cloud non approvati e disabilitare l’oggetto COM Shell.Explorer.1 tramite il registro. I difensori dovrebbero imporre restrizioni macro, monitorare la registrazione COM sotto HKCU\Software\Classes\CLSID, e rivedere i task pianificati sospetti come OneDriveHealth. Il logging ETW dovrebbe anche essere abilitato per rilevare carichi CLR inaspettati all’interno di explorer.exe.

Mitigazione

I ricercatori di TrendAI hanno identificato i componenti del toolset PRISMEX — PrismexSheet, PrismexDrop, PrismexLoader e PrismexStager — collegandoli alle precedenti attività Pawn Storm. Hanno trovato indizi che gli attaccanti avevano preparato l’infrastruttura diverse settimane prima della divulgazione pubblica delle vulnerabilità e documentato l’uso di un dominio C2 condiviso, dominio wellnesscaremed.com, e applicare rilevazione e blocco basati su IOC per i nomi di file identificati e i task pianificati.. La ricerca ha anche mappato le tecniche MITRE ATT&CK utilizzate lungo la catena di intrusione.

Indagine

Pawn Storm (APT28) ha lanciato una campagna incentrata su un nuovo toolkit malware chiamato PRISMEX, che prende di mira la catena di fornitura della difesa ucraina e le organizzazioni governative e logistiche alleate. L’operazione sfrutta due nuove vulnerabilità zero-day recentemente divulgate, CVE-2026-21509 e CVE-2026-21513, abusando delle piattaforme cloud legittime per il comando e controllo. Il toolset include loader steganografici, hijacking COM per la persistenza e uno stager Covenant Grunt ospitato su Filen.io. La rilevazione rimane difficile a causa dell’esecuzione senza file e del traffico di rete crittografato.

Esecuzione Simulazione

Prerequisito: Il Controllo Pre-missione di Telemetria & Baseline deve essere passato.

Motivazione: Questa sezione dettaglia l’esecuzione precisa della tecnica avversaria (TTP) progettata per attivare la regola di rilevazione. I comandi e la narrazione DEVONO riflettere direttamente i TTP identificati e mirare a generare l’esatta telemetria prevista dalla logica di rilevazione. Esempi astratti o non correlati porteranno a una diagnosi errata.

• Narrazione & Comandi di Attacco:

  1. L’avversario ha ottenuto una DLL dannosa (evil.dll) collocata in una directory scrivibile (es., C:Tempevil.dll).
  2. Per ottenere la persistenza, selezionano il CLSID {68DDBB56-9D1D-4FD9-89C5-C0DA2A625392} (uno dei GUID tracciati dalla regola).
  3. Utilizzando reg.exe incorporato (o PowerShell), impostano il valore predefinito del InProcServer32 sottochiave al percorso della DLL dannosa, dirottando così qualsiasi attivazione COM di quel CLSID.
  4. La modifica del registro genera un’inserzione EventID 13 con l’esatto TargetObject che corrisponde alla regola di rilevazione.

• Script di Test di Regressione:

  # -------------------------------------------------
  # Simulazione di Persistenza Hijacking COM di PrismexSheet
  # -------------------------------------------------
  $guid = '{68DDBB56-9D1D-4FD9-89C5-C0DA2A625392}'
  $dllPath = "C:Tempevil.dll"
  
  # Assicurarsi che la DLL dannosa esista (segnaposto per il test)
  if (-not (Test-Path $dllPath)) {
      New-Item -Path $dllPath -ItemType File -Force | Out-Null
      Set-Content -Path $dllPath -Value "Segnaposto di carico utile dannoso"
  }
  
  $regPath = "HKCU:SoftwareClassesCLSID$guidInProcServer32"
  
  # Creare la chiave se non esiste
  New-Item -Path $regPath -Force | Out-Null
  
  # Impostare il valore predefinito per puntare alla DLL dannosa
  Set-ItemProperty -Path $regPath -Name '(Default)' -Value $dllPath
  
  Write-Host "Dirottamento COM persistito a $regPath -> $dllPath"

• Comandi di Pulizia:

  # Rimuovere la registrazione COM dannosa
  $guid = '{68DDBB56-9D1D-4FD9-89C5-C0DA2A625392}'
  $regPath = "HKCU:SoftwareClassesCLSID$guid"
  Remove-Item -Path $regPath -Recurse -Force
  
  # Eliminare la DLL fittizia
  Remove-Item -Path "C:Tempevil.dll" -Force -ErrorAction SilentlyContinue
  
  Write-Host "Pulizia completata."