UAC-0099 e Sandworm distribuiscono il backdoor MythicRatatoskr tramite Yggdrasil

Riassunto

Gli affiliati associati ai gruppi ransomware INC e The Gentlemen stanno sfruttando un ecosistema di intrusione guidato dall’IA per automatizzare la ricognizione, la generazione di comandi e il triage dei dati. Gli operatori utilizzano un framework personalizzato chiamato Phantom insieme a LLM commerciali per supportare intrusioni su larga scala. L’infrastruttura è stata esposta dopo che significativi fallimenti dell’OPSEC hanno rivelato server di comando e controllo e dati delle sessioni AI memorizzati.

Indagine

L’indagine è iniziata dopo che i ricercatori hanno trovato un server di comando e controllo esposto a 45.227.254.43 che ospitava directory aperte contenenti codice sorgente di Phantom e database di sessioni AI. L’analisi dei file di configurazione esposti e delle credenziali ha successivamente scoperto sei ulteriori server controllati da avversari. I ricercatori hanno identificato un flusso di lavoro altamente automatizzato in cui l’IA esegue gran parte dell’esecuzione tecnica mentre gli operatori umani mantengono la supervisione.

Mitigazione

Le organizzazioni dovrebbero dare priorità alla patch dei sistemi periferici, in particolare FortiClient EMS, SimpleHelp e cPanel, per chiudere i comuni percorsi di accesso iniziale. L’applicazione dell’autenticazione a più fattori (MFA) su piattaforme RMM, VPN e accesso remoto è essenziale per ridurre il rischio di riutilizzo delle credenziali. I difensori dovrebbero anche attivare la protezione dalle manomissioni EDR e monitorare le interruzioni non autorizzate dei servizi di sicurezza o il caricamento di driver noti vulnerabili.

Risposta

Quando si identifica un’attività dannosa, isolare i dispositivi periferici interessati e verificare gli account amministrativi nelle piattaforme EMS e RMM per aggiunte non autorizzate. Rivedere gli script di connessione VPN per eventuali modifiche sospette e ruotare immediatamente le credenziali compromesse. Condurre un esame approfondito dei compiti programmati e dei tunnel SOCKS inversi attivi per identificare e terminare i canali C2 persistenti.

Esecuzione della simulazione

• Narrativa e comandi dell’attacco: L’avversario mira a stabilire la persistenza sull’host bersaglio utilizzando il backdoor MythicRatatoskr. Per simulare il rilevamento, l’attaccante eseguirà tre azioni distinte: 1) Eseguire un comando contenente la stringa specifica “MATCHWOK backdoor” per attivare selezione1; 2) Far cadere un binario dannoso nel percorso altamente specifico C:windowssystem32updater.exe per attivare selezione2; e 3) Creare un nuovo servizio Windows chiamato WindowsDefenderSvc.exe per attivare selezione3. Questo imita il dispiegamento multi-stadio dove l’accesso iniziale conduce a una persistenza ad alto privilegio.

• Script di test di regressione:

  # Script di simulazione per la validazione del rilevamento MATCHWOK/MythicRatatoskr
  # NOTA: Questo script deve essere eseguito con privilegi di amministratore.
  
  Write-Host "[*] Avvio della simulazione..." -ForegroundColor Cyan
  
  # 1. Attivazione Selezione 1: CommandLine contiene "MATCHWOK backdoor"
  Write-Host "[+] Attivazione Selezione 1 (Command Line)..." -ForegroundColor Yellow
  Start-Process cmd.exe -ArgumentList "/c echo Questa è una simulazione dell'esecuzione del backdoor MATCHWOK" -WindowStyle Hidden
  
  # 2. Attivazione Selezione 2: Immagine è "C:windowssystem32updater.exe"
  Write-Host "[+] Attivazione Selezione 2 (Percorso del File)..." -ForegroundColor Yellow
  $targetPath = "C:WindowsSystem32updater.exe"
  if (Test-Path $targetPath) { Remove-Item $targetPath -Force }
  New-Item -Path $targetPath -ItemType File -Force | Out-Null
  Start-Process $targetPath -ArgumentList "/silent" -ErrorAction SilentlyContinue
  
  # 3. Attivazione Selezione 3: Nome Servizio è "WindowsDefenderSvc.exe"
  Write-Host "[+] Attivazione Selezione 3 (Nome Servizio)..." -ForegroundColor Yellow
  $serviceName = "WindowsDefenderSvc.exe"
  # Creazione di un servizio fittizio che esegue "cmd.exe"
  New-Service -Name $serviceName -BinaryPathName "C:WindowsSystem32cmd.exe /c echo persistence" -DisplayName "Servizio di Sicurezza di Windows Defender" -StartupType Manual
  
  Write-Host "[*] Simulazione Completa." -ForegroundColor Green

• Comandi di pulizia:

  # Script di pulizia
  Write-Host "[!] Pulizia degli artefatti di simulazione..." -ForegroundColor Red
  
  # Rimuovere il servizio
  Stop-Service -Name "WindowsDefenderSvc.exe" -ErrorAction SilentlyContinue
  sc.exe delete "WindowsDefenderSvc.exe"
  
  # Rimuovere il file dannoso
  Remove-Item "C:WindowsSystem32updater.exe" -Force -ErrorAction SilentlyContinue
  
  Write-Host "[*] Pulizia Completata." -ForegroundColor Green