Lindnor Backdoor i narzędzia do niszczenia zabezpieczeń użyte w ataku ransomware w USA

Podsumowanie

Atak ransomware wymierzony w organizację amerykańską obejmował ransomware Anubis i nowo zidentyfikowane niestandardowe oprogramowanie typu backdoor znane jako Backdoor.Lindnor. Atakujący wdrożyli wiele narzędzi Bring Your Own Vulnerable Driver (BYOVD) i programów wykonawczych wyłączających bezpieczeństwo w celu uzyskania dostępu na poziomie jądra. Włamanie zostało ostatecznie przerwane zanim mógł się rozpocząć etap szyfrowania ransomware.

Śledztwo

Śledztwo rozpoczęło się po wykryciu backdoora Lindnor na dwóch systemach Microsoft SQL Server. Analitycy odkryli, że atakujący przebrali złośliwe oprogramowanie jako komponenty związane z Chrome i VMware, jednocześnie wdrażając kilka narzędzi zaprojektowanych do zakończenia usług bezpieczeństwa. Zauważono również użycie legalnego oprogramowania zdalnego dostępu, takiego jak AnyDesk, skonfigurowanego do pracy w trybie awaryjnym.

Łagodzenie skutków

Organizacje powinny skonfigurować mechanizmy bezpieczeństwa tak, aby blokować nieautoryzowane ładowanie sterowników i zmniejszać podatność na techniki BYOVD. Kluczowe są rygorystyczne kontrole wykonywania niepodpisanych lub znanych podatnych sterowników. Zespoły bezpieczeństwa powinny również monitorować nieautoryzowane narzędzia zdalnego dostępu i podejrzane zmiany w rejestrze związane z trwałością lub wykonaniem w trybie awaryjnym.

Reakcja

Po wykryciu złośliwej aktywności należy odizolować dotknięte systemy SQL Server i przeprowadzić audyt ostatnio zainstalowanych plików wykonywalnych i sterowników. Przeprowadzić kompleksowe łowy w poszukiwaniu backdoora Lindnor i powiązanych plików takich jak healthcontroller64.exe or svchelper.exe. Zbadać klucze rejestru pod kątem modyfikacji związanych z AnyDesk i przeanalizować tworzenie nieautoryzowanych lokalnych kont użytkowników.

Wykonanie symulacji

• Narracja ataku i polecenia: Przeciwnik uzyskał początkowy dostęp i zamierza ustanowić trwały kanał zdalnego dostępu, który przetrwa ponowne uruchomienie w trybie awaryjnym. Aby uniknąć wykrycia przez standardowe monitorowanie folderu startowego, atakujący celuje w konfiguracje rejestru systemu Windows w trybie awaryjnym. Używa reg.exe aby wstrzyknąć nową wartość do SafeBootNetwork klucza rejestru, konkretnie nazywając ją „AnyDesk” i ustawiając na „Service”. Zapewnia to, że kiedy technik lub atakujący uruchomi tryb awaryjny, AnyDesk uruchomi się automatycznie, dostarczając tylną furtkę, podczas gdy główny pakiet bezpieczeństwa jest nieaktywny.

• Skrypt do testowania regresji:

  # Symulacyjny skrypt do naśladowania trwałości AnyDesk w trybie awaryjnym przez reg.exe
  # To polecenie pasuje do konkretnych ciągów w logice detekcji.
  
  $registryPath = "HKLMSYSTEMCurrentControlSetControlSafeBootNetworkAnyDesk"
  $command = "reg add `"$registryPath`" /ve /t REG_SZ /d Service /f"
  
  Write-Host "[*] Wykonywanie polecenia symulacyjnego: $command"
  Invoke-Expression $command
  
  if ($LASTEXITCODE -eq 0) {
      Write-Host "[+] Sukces: Powinna zostać wygenerowana telemetria."
  } else {
      Write-Host "[-] Niepowodzenie: Polecenie nie powiodło się. Upewnij się, że skrypt jest uruchomiony jako Administrator."
  }

• Polecenia czyszczenia:

  # Skrypt czyszczenia do usunięcia symulowanego klucza rejestru
  $registryPath = "HKLMSYSTEMCurrentControlSetControlSafeBootNetworkAnyDesk"
  Write-Host "[*] Czyszczenie: Usuwanie $registryPath"
  reg delete "$registryPath" /f