Фотокампанія ZIP, націлена на індустрію гостинності, доставляє вбудовування Node.js для постійного доступу

Резюме

Активна багатоступенева кампанія вторгнення спрямована на сектор гостинності через ZIP-архіви з темою фото, що містять шкідливі LNK-файли. Ланцюг інфекції використовує зашифровані декодери PowerShell, компіляцію DLL для .NET на льоту, та імплант на базі Node.js для стійкості та комунікації команди і контролю. Зловмисник також використовує легітимні сервіси, такі як Calendly та Google, для зниження ймовірності виявлення на основі електронної пошти.

Розслідування

Microsoft ідентифікувала дві окремі хвилі кампанії та спостерігала прогресію від простих завантажувачів PowerShell до більш складних етапів компіляції .NET. Розслідування також розкрило стратегію подвійної стійкості, яка базувалася на використанні як HKCURun and HKCURunOnce ключі реєстру. Дослідники також відзначили використання доменів з Cloudflare-фронтами та нетипових портів команди і контролю для ускладнення приховування інфраструктури.

Пом’якшення

Організації повинні зосередити першочергову увагу на багатошарових виявленнях запуску ярликів, несподіваної компіляції .NET та процесів Node.js, які запускалися з каталогів, доступних для запису користувачем. Дуже рекомендовано включити правила зменшення атакуючої поверхні та моніторити несанкціоновані зміни винятків захисника Microsoft. Блокування підозрілих .cfd шаблонів доменів і спостереження за вихідним трафіком через нетипові порти також можуть допомогти зменшити вплив.

Відповідь

Якщо цю активність виявлено, заходи усунення повинні включати видалення як ProgramData RunOnce входу, так і ключа Node.js Run щоб зупинити імплант від самовідновлення. Командам безпеки слід також видалити Node.js і пов’язані .js навантаження з AppDataLocalNodejs каталогу. Для повного очищення необхідно усунути як активне навантаження, так і будь-які механізми стійкості, залишені позаду.

Виконання симуляції

Передумова: Перевірка телеметрії та базового рівня повинна бути пройдена.

Обґрунтування: У цьому розділі детально описується точне виконання техніки супротивника (TTP), яка має спровокувати правило виявлення. Команди та розповідь МАЮТЬ точно відображати ідентифіковані TTP та прагнути генерувати саме ту телеметрію, на яку розраховує логіка виявлення. Абстрактні або не пов’язані приклади можуть привести до неправильної діагностики.

• Опис атаки та команди: Супротивник отримав початковий доступ через цільовий фішинг-посилання (T1566.002). Щоб встановити стійкість та команду і контроль (C2), супротивник розгортає легкий імплант на базі PowerShell. Щоб уникнути виявлення базовими правилами фаєрвола, які лише стежать за стандартними портами, зловмисник вирішує використовувати нестандартний порт (8443) для основного імпульсу. Додатково імплант налаштовано для «вхідного дзвінка» на резервний домен, розміщений на .cfd TLD, щоб забезпечити стійкість, якщо основний IP буде заблоковано. Це імітує поведінку кампанії Photo-Zip, згаданої у посиланнях правила.

• Сценарій регресійного тестування:

  # Сценарій симуляції: Емуляція C2 для валідації правила
  # Цей скрипт симулює мережеві з'єднання з нетиповими портами та доменами .cfd.
  
  Write-Host "[+] Запуск симуляції C2..." -ForegroundColor Cyan
  
  # 1. Імітація з'єднання з нетиповим C2 портом (8443)
  # Ми використовуємо публічний IP, який слухає на 8443 (або локальний слухач, якщо доступний)
  Write-Host "[+] Спроба з'єднання з нестандартним портом 8443..." -ForegroundColor Yellow
  try {
      $tcpClient = New-Object System.Net.Sockets.TcpClient
      $tcpClient.Connect("8.8.8.8", 8443) # Використовуємо Google DNS як фіктивну ціль для тестування порту
  } catch {
      Write-Host "[!] Підключення до порту 8443 не вдалось (Очікувано, якщо порт закрито), але телеметрія повинна бути створена." -ForegroundColor Gray
  } finally {
      $tcpClient.Close()
  }
  
  # 2. Імітація з'єднання з доменом .cfd
  # Ми намагаємося вирішити та підключитися до фіктивного .cfd домену
  Write-Host "[+] Спроба з'єднання з доменом .cfd..." -ForegroundColor Yellow
  $cfdDomain = "malicious-c2-test.cfd"
  try {
      # Використання Resolve-DnsName для активації телеметрії DNS, а потім веб-запит
      Resolve-DnsName -Name $cfdDomain -ErrorAction SilentlyContinue
      Invoke-WebRequest -Uri "http://$cfdDomain" -TimeoutSec 2 -ErrorAction SilentlyContinue
  } catch {
      Write-Host "[!] Підключення до домену .cfd не вдалося (Очікувано для фіктивного домену), але телеметрія повинна бути згенерована." -ForegroundColor Gray
  }
  
  Write-Host "[+] Симуляція завершена." -ForegroundColor Cyan

• Команди очищення:

  # Очищення: Цей конкретний скрипт не створив стійких артефактів.
  # Якщо слухач був запущений, він повинен бути зупинений.
  Write-Host "[+] Очищення не потрібно для цієї безстатусної симуляції." -ForegroundColor Green