Attacco informatico del gruppo APT28 utilizzando il programma maligno CredoMap_v2 (CERT-UA#4622)

Esecuzione simulazione

Requisito: Il controllo pre-volo di telemetria e baseline deve essere superato.

Razionale: Questa sezione dettagli l’esecuzione precisa della tecnica dell’avversario (TTP) progettata per attivare la regola di rilevamento. I comandi e il narrative DEVONO riflettere direttamente i TTP identificati e mirare a generare la telemetria esatta prevista dalla logica di rilevamento. Esempi astratti o non correlati porteranno a diagnosi errate.

• Narrativa d’attacco e comandi:
  Un operatore APT28 riceve un’email di phishing contenente un archivio RAR protetto da password. All’interno, c’è un eseguibile autoestraente (SFX) chiamato UkrScanner.exe. Dopo aver estratto l’archivio sulla macchina della vittima, l’operatore esegue lo stub SFX, che rilascia ed esegue il malware CredoMap_v2. L’esecuzione di UkrScanner.exe crea un evento di creazione di processo che corrisponde alla regola di rilevamento.

  Passi di simulazione (eseguiti sull’host di test):

  1. Creare un eseguibile fittizio chiamato UkrScanner.exe (copia di powershell.exe per sicurezza).
  2. Avviare l’eseguibile fittizio per simulare l’esecuzione del file SFX da parte dell’attaccante.

• Script di test di regressione:

  # ==============================
  # Simulazione dell'esecuzione di CredoMap_v2 da SFX (UkrScanner.exe)
  # ==============================
  $tempPath = "$env:TEMPUkrScanner.exe"
  
  # 1. Preparare un payload innocuo sostitutivo (copia di powershell.exe)
  Copy-Item -Path "$env:SystemRootSystem32WindowsPowerShellv1.0powershell.exe" -Destination $tempPath -Force
  
  # 2. Assicurarsi che il file sia eseguibile
  Unblock-File -Path $tempPath
  
  # 3. Eseguire il file SFX fittizio (simula l'attaccante che esegue il file)
  Write-Host "Avviando l'eseguibile SFX fittizio..."
  Start-Process -FilePath $tempPath -ArgumentList "-NoProfile -WindowStyle Hidden" -PassThru
  
  # 4. Pausa per consentire l'ingestione da parte del SIEM
  Start-Sleep -Seconds 5
  Write-Host "Simulazione completata. Controllare il SIEM per il rilevamento della creazione di processo che termina con 'UkrScanner.exe'."

• Comandi di pulizia:

  # Arrestare eventuali processi powershell rimanenti avviati dall'eseguibile fittizio (se presenti)
  Get-Process -Name "powershell" -ErrorAction SilentlyContinue | Where-Object {$_.Path -like "*UkrScanner.exe"} | Stop-Process -Force
  
  # Rimuovere l'eseguibile fittizio
  $tempPath = "$env:TEMPUkrScanner.exe"
  if (Test-Path $tempPath) {
      Remove-Item -Path $tempPath -Force
      Write-Host "Pulizia completata: rimosso $tempPath"
  }