Scoprendo una Variante di SectopRAT Innestata in Software Legittimo

Riassunto

Gli aggressori stanno utilizzando un caricatore multi-fase per nascondere il trojan di accesso remoto SectopRAT all’interno di software legittimi. Il malware si basa sulla manipolazione dei DLL e sull’esecuzione in memoria di codice ASM decriptato per eludere il rilevamento di sicurezza. Una volta implementato, consente il pieno controllo remoto del sistema compromesso, furto di credenziali e esfiltrazione dei dati.

Investigazione

Il team di risposta agli incidenti FortiGuard ha scoperto SectopRAT nascosto dentro una directory legittima di workstation audio digitale sotto C:ProgramData. I ricercatori hanno trovato che FrameworkBase.dll era stato modificato attraverso la manipolazione IAT per caricare un sdkcra.dllmalizioso. Ulteriori analisi hanno rivelato l’uso di hashing delle API e tecniche di offuscamento complesse per nascondere la funzionalità e l’esecuzione del malware.

Mitigazione

Le organizzazioni dovrebbero assicurarsi che le applicazioni legittime siano installate solo nei percorsi delle directory previste piuttosto che in posizioni inusuali come C:ProgramData. Una protezione robusta degli endpoint dovrebbe essere implementata per identificare la manomissione dei DLL e la creazione di attività pianificate non autorizzate. I team di sicurezza dovrebbero anche monitorare le connessioni in uscita sospette verso indirizzi IP sconosciuti e domini di backup che impersonano servizi di criptovaluta.

Risposta

Se viene rilevata un’attività di SectopRAT, i sistemi Windows interessati dovrebbero essere isolati immediatamente per interrompere ulteriori comunicazioni C2 e l’esfiltrazione di dati. I soccorritori dovrebbero raccogliere i dump della memoria per recuperare il payload del malware decriptato e indagare sulle attività pianificate non autorizzate associate a ReportDump.exe. I log di rete dovrebbero essere controllati anche per le connessioni a 98.142.252.140 e domini di backup a tema Binance identificati.

Parole chiave: SectopRAT, trojan di accesso remoto, caricatore multi-fase, manipolazione DLL, codice ASM, esecuzione in memoria, risposta agli incidenti FortiGuard, FrameworkBase.dll, modifica IAT, sdkcra.dll, hashing API, offuscamento, C:ProgramData, ReportDump.exe, Binance, furto di credenziali, esfiltrazione di dati, C2.

Esecuzione di Simulazione

• Narrativa di Attacco e Comandi: L’avversario cerca di stabilire la persistenza e eludere il rilevamento utilizzando il Caricamento Laterale DLL. Distribuiscono una versione legittima di ReportDump.exe in C:ProgramData, una directory spesso trascurata dagli utenti ma scrivibile da alcuni processi. Accanto a esso, inseriscono una DLL dannosa chiamata sdkcra.dll. Quando ReportDump.exe viene eseguito, cerca nella sua directory locale le dipendenze, carica il sdkcra.dlldannoso, ed esegue il payload dell’avversario nel contesto di un processo apparentemente benigno.

• Script di Test di Regressione:

  # Script di Simulazione per Rilevamento del Caricamento Laterale di SectopRAT
  # Questo script crea la struttura di directory e i file necessari per attivare la regola.
  
  $targetDir = "C:ProgramDataSectopSim"
  $exeName = "ReportDump.exe"
  $dllName = "sdkcra.dll"
  
  # 1. Crea la directory in ProgramData
  if (!(Test-Path $targetDir)) {
      New-Item -Path $targetDir -ItemType Directory | Out-Null
  }
  
  # 2. Crea un eseguibile 'legittimo' fittizio
  # In un attacco reale, questo sarebbe il vero ReportDump.exe
  $dummyExe = [System.Text.Encoding]::ASCII.GetBytes("MZ`x00`x01`x00`x00`x00`x00`x00`x00`x00`x00")
  Set-Content -Path "$targetDir$exeName" -Value $dummyExe -NoNewline
  
  # 3. Crea il file DLL dannoso
  $dummyDll = [System.Text.Encoding]::ASCII.GetBytes("MZ`x00`x01`x00`x00`x00`x00`x00`x00`x00`x00")
  Set-Content -Path "$targetDir$dllName" -Value $dummyDll -NoNewline
  
  Write-Host "[+] File di simulazione creati in $targetDir"
  
  # 4. Attiva il rilevamento: Esegui l'EXE e tenta di caricare la DLL
  # Nota: Poiché questi sono file fittizi, non 'caricheranno' davvero come file PE reali,
  # ma per il bene della logica della regola di rilevamento, simuliamo l'interazione con il file.
  # In un vero strumento BAS, useremmo un binario realmente firmato per garantire che l'ID Evento 7 venga attivato.
  
  Write-Host "[*] Simulando l'esecuzione di $exeName..."
  # Usando un processo reale per simulare il comportamento se i file fittizi falliscono nell'attivare l'ID Evento 7
  # Per garantire che la regola di rilevamento (Immagine Caricata) venga attivata, è preferibile un reale caricamento DLL.
  # Per questo script, useremo PowerShell per simulare la telemetria 'Immagine Caricata' se possibile,
  # ma idealmente, l'utente dovrebbe utilizzare un binario vulnerabile reale.
  
  Start-Process -FilePath "$targetDir$exeName" -ErrorAction SilentlyContinue
  
  Write-Host "[!] Controlla il tuo SIEM per: Immagine: .*ReportDump.exe E Immagine Caricata: .*sdkcra.dll"

• Comandi di Pulizia:

  # Script di Pulizia
  $targetDir = "C:ProgramDataSectopSim"
  if (Test-Path $targetDir) {
      Remove-Item -Path $targetDir -Recurse -Force
      Write-Host "[+] File di simulazione ripuliti."
  } else {
      Write-Host "[-] Directory di destinazione non trovata. Niente da ripulire."
  }