SHADOW-WATER-063のBanana RATの内部: ビルドサーバーから銀行詐欺まで

シミュレーションの実行

前提条件: テレメトリーとベースラインの事前チェックがクリアしている必要があります。

論理: このセクションは、検出ルールをトリガーするために設計された敵の技術（C2通信）の正確な実行を詳述します。コマンドとナラティブはTTPsを直接反映し、検出ロジックによって期待される正確なテレメトリーを生成することを目的としています。

• 攻撃の経緯とコマンド:
  脅威アクターは被害者のエンドポイントにBanana RATを展開しました。持続性を維持し、コマンドを受信するために、RATはハードコードされたC2インフラストラクチャへ外向きの通信を開始します:

  1. HTTPビーコン （IP 24.199.90.58:80）: 生のTCPソケットを開き、最小限のHTTP GETリクエストを送信します。
  2. HTTPSビーコン （IP 162.141.111.227:443）: C2サーバーに Invoke-WebRequest をTLSで使用します。
  3. ドメインベースのビーコン: DNS検索を実行します c.windowsk-cdn.com、これはC2がクエリボリュームを監視します。

  これら三つのアクションは、Sigmaルールで少なくとも1つの選択に命中する可能性を最大化するために連続して実行されます。

• 回帰テストのスクリプト:

  # -------------------------------------------------
  # Banana RAT C2 Communication Simulation (TC-20260522-A1B2C)
  # -------------------------------------------------
  # 1. HTTPビーコンを24.199.90.58:80に送信
  try {
      $httpClient = New-Object System.Net.Sockets.TcpClient("24.199.90.58",80)
      $stream = $httpClient.GetStream()
      $writer = New-Object System.IO.StreamWriter($stream)
      $writer.WriteLine("GET / HTTP/1.1")
      $writer.WriteLine("Host: 24.199.90.58")
      $writer.WriteLine("Connection: Close")
      $writer.WriteLine()
      $writer.Flush()
      $reader = New-Object System.IO.StreamReader($stream)
      $response = $reader.ReadToEnd()
      $writer.Dispose()
      $reader.Dispose()
      $httpClient.Close()
  } catch { Write-Error "HTTPビーコン失敗: $_" }
  
  # 2. HTTPSビーコンを162.141.111.227:443に送信
  try {
      Invoke-WebRequest -Uri "https://162.141.111.227" -UseBasicParsing -TimeoutSec 10
  } catch { Write-Error "HTTPSビーコン失敗: $_" }
  
  # 3. 悪意のあるドメインのDNSクエリ
  try {
      Resolve-DnsName -Name "c.windowsk-cdn.com" -Type A -ErrorAction Stop
  } catch { Write-Error "DNSクエリ失敗: $_" }
  
  # シミュレーション終了

• クリーンアップコマンド:

  # -------------------------------------------------
  # クリーンアップ - 残っているソケットまたは一時ファイルを削除
  # -------------------------------------------------
  # シミュレーションで永続的なアーティファクトは作成されません。
  # 残っているネットワーク接続がないことを確認:
  Get-NetTCPConnection -RemotePort 80,443 `
      | Where-Object {$_.RemoteAddress -in @("24.199.90.58","162.141.111.227")} `
      | ForEach-Object { Stop-Process -Id $_.OwningProcess -Force }
  # DNSキャッシュをクリアして、後続のテストへの影響を避けます
  Clear-DnsClientCache