Porównanie dwóch ładowników złośliwego oprogramowania: Od dostarczania ClickFix do C2

Podsumowanie

Złośliwe podmioty coraz częściej polegają na technikach ClickFix i TerminalFix w celu dostarczania ładowarek złośliwego oprogramowania, w tym Lorem Ipsum Loader i Axolotl Loader. Te ładowarki często pełnią rolę prekursorów do wdrażania ransomware poprzez boczne ładowanie DLL, instalatory MSI i wykonywanie Node.js. Kampanie te wykorzystują również zaawansowane techniki unikania, takie jak odłączanie ntdll oraz zaszyfrowane ładunki osadzone w niestandardowych sekcjach DLL.

Śledztwo

Badacze przeanalizowali próbki Lorem Ipsum i Axolotl Loader, aby zbadać ich łańcuchy dostaw i cechy techniczne. Śledztwo ujawniło trojanizowane instalatory MSI, wieloetapowe skrypty PowerShell i charakterystyczną .cpoc sekcję wewnątrz DLL używaną do przechowywania zasobów. Analiza porównawcza ujawniła również różnice w komunikacji C2, mechanizmach unikania oraz technikach zapewniania ciągłości działania pomiędzy dwiema rodzinami ładowarek.

Ograniczenia

Organizacje powinny monitorować telemetrię Sysmon w przypadku bocznego ładowania DLL i podejrzanych relacji procesów rodzic-dziecko, w tym uruchamiania plików wsadowych przez PowerShell. Zaleca się egzekwowanie ścisłych kontroli nad wykonywaniem instalatorów MSI i wykrywanie niepodpisanych DLL w katalogach zapisywalnych przez użytkownika. Zespoły bezpieczeństwa powinny również sprawdzać ruch sieciowy pod kątem nietypowych User-Agentów, takich jak Firefox/143, oraz podejrzanych wzorców rejestracji C2 związanych z aktywnymi infekcjami.

Reakcja

Gdy wykryta zostanie złośliwa aktywność, należy izolować zainfekowane hosty i przeprowadzić analizę kryminalistyczną katalogów zapisywalnych przez użytkowników, takich jak C:WindowsTemp lub C:UsersPublic. Poszukuj zaplanowanych zadań oraz kluczy Rejestru Run przy użyciu zrandomizowanych nazw. Prowadź retrospektywne wyszukiwania w zapisach DNS i proxy dla znanych domen C2 i adresów IP w celu określenia zakresu kompromitacji.

Symulacja Wykonania

• Narracja ataku & Polecenia: Adwersarz uzyskał początkowy dostęp i próbuje wdrożyć modułową ładowarkę złośliwego oprogramowania. Aby uniknąć wykrycia przez proste systemy antywirusowe oparte na sygnaturach, używają PowerShell do wywołania niestandardowej ładowarki. Ładowarka wykorzystuje określone biblioteki uruchomieniowe (libgcc_s_seh-1.dll) i wymaga określonych flag (-AgentDll) do zainicjowania ładunku w pamięci. Celem atakującego jest ustanowienie trwałego połączenia C2 poprzez ładowanie tych komponentów przez łańcuch wykonywania sterowany przez PowerShell.

• Skrypt testu regresji:

  # Skrypt Symulacji dla Walidacji Wykrywania
  # Ten skrypt naśladuje zachowanie zdefiniowane w regule Sigmy
  
  $workingDir = $env:TEMP
  $dllName = "libgcc_s_seh-1.dll"
  $dllPath = Join-Path $workingDir $dllName
  
  Write-Host "[+] Tworzenie fikcyjnej biblioteki DLL do symulacji..."
  New-Item -Path $dllPath -ItemType File -Force | Out-Null
  
  Write-Host "[+] Wykonywanie polecenia PowerShell, aby wywołać selection1 (nazwa DLL w wierszu poleceń)..."
  Start-Process powershell.exe -ArgumentList "-Command `& {Write-Output 'Ładowanie $dllPath'}`" -NoNewWindow
  
  Write-Host "[+] Wykonywanie polecenia PowerShell, aby wywołać selection2 (flaga AgentDll)..."
  Start-Process powershell.exe -ArgumentList "-AgentDll -DepsDir C:Temp -Shim" -NoNewWindow
  
  Write-Host "[+] Symulacja Zakończona."

• Polecenia czyszczenia:

  # Skrypt do czyszczenia
  $workingDir = $env:TEMP
  $dllName = "libgcc_s_seh-1.dll"
  $dllPath = Join-Path $workingDir $dllName
  
  if (Test-Path $dllPath) {
      Remove-Item -Path $dllPath -Force
      Write-Host "[+] Usunięto fikcyjną bibliotekę DLL."
  } else {
      Write-Host "[!] Biblioteka DLL nie znaleziona, nic do usunięcia."
  }