Тактики групи APT41 проти емуляцій програм-вимагачів у AttackIQ Ransom Tales

РЕЗЮМЕ

Стаття описує п’ятий том серії Ransom Tales від AttackIQ, яка відтворює тактики, техніки та процедури трьох відомих родин програм-здирників, — REvil, DarkSide та BlackMatter, — у контрольованих лабораторних умовах. Кожна емуляція охоплює етапи виконання, стійкості, виявлення, уникнення захисту і впливу, дозволяючи захисникам вправлятися та перевіряти роботу виявлення та реагування. Сценарії Ransom Tales нагадують уроки з кампанії кібер-шпіонажу APT41, одночасно хронікуючи компрометації ланцюгів поставок та розвиток екосистеми “вимагач як послуга” для сучасних синіх команд та аналітиків.

Аналіз атаки APT41

Команда досліджень супротивника AttackIQ проаналізувала публічні звіти про загрози, зразки шкідливого програмного забезпечення та телеметрію для створення реалістичних графів атак для кожної родини програм-здирників, схожих на ті, які аналітики реконструювали для групової діяльності APT41. Вони картографували спостережувані кроки на техніки MITRE ATT&CK і розробили потоки виконання, які отримують корисні навантаження, встановлюють стійкість, перераховують хости та шифрують дані. Вони також змоделювали, як група APT41 здійснила операцію кібер-шпіонажу проти компанії США, щоб проілюструвати загальну торгівлю.

Мітигація

Рекомендації щодо обмеження ризику наголошують на жорсткому мінімальному доступі, вимкненні непотрібних сервісів та швидкому патчуванні інфраструктури, включаючи вразливості Atlassian Confluence, Apache Struts та GoAhead RCE, а також вади Log4j, такі як CVE-2021-44228, CVE-2022-26134, CVE-2017-9805, та CVE-2017-17562. Команди мають обмежити віддалений доступ до робочого столу, контролювати зміни в реєстрі та завданнях і перевіряти резервні копії.

Реагування

Коли активність виявляється, реагуючі мають ізолювати постраждалі системи, зберегти волатильну пам’ять, зібрати дерева реєстру і зберегти джерела логів для перегляду. Вони повинні перевірити тіньові копії, заплановані завдання та ключі реєстру на наявність ознак технік, які використовує група APT41, а потім відновити дані з резервних копій. Команди мають шукати бічний рух, інформувати зацікавлених сторін і збагатити інциденти інформацією про загрози.

Симуляції

Виконання симуляції

Необхідна умова: перевірка телеметрії та базових показників повинна пройдено.

Аргументація: Цей розділ описує точне виконання техніки противника (TTP), призначеної для активації правила виявлення. Команди та наратив МАЮТЬ безпосередньо відображати ідентифіковані TTP і прагнути генерувати точну телеметрію, очікувану логікою виявлення.

• Розповідь та команди атаки:
  Супротивник, імітуючи APT41, спочатку компілює шкідливу C# бекдор використовуючиmsbuild.exeдля обходу білого списку додатків. Компіляція корисного навантаження потім підготовлена як заплановане завдання з використаннямschtasks.exeдля досягнення стійкості. Обидва виконувані файли виконуються з нестандартних місць для імітування реалістичної поведінки атакуючого, зберігаючи при цьому умови зображення-ім’я правила.

• Скрипт регресійного тесту:
  
  

•  

  # Тест стійкості в стилі APT41 - PowerShell
  # -------------------------------------------------
  # 1. Підготовка шкідливого корисного навантаження C#
  $source = @"
  using System;
  using System.Diagnostics;
  public class Backdoor {
      public static void Main() {
          Process.Start(new ProcessStartInfo {
              FileName = "cmd.exe",
              Arguments = "/c echo Compromised > C:Temppwned.txt",
              CreateNoWindow = true,
              UseShellExecute = false
          });
      }
  }
  "@
  $srcPath = "$env:TEMPbackdoor.cs"
  $projPath = "$env:TEMPbackdoor.csproj"
  $dllPath = "$env:TEMPbackdoor.dll"
  $srcPath | Out-File -Encoding ASCII -Force
  $projContent = @"
  <Project Sdk=`"Microsoft.NET.Sdk`">
    <PropertyGroup>
      <TargetFramework>net48</TargetFramework>
      <OutputType>Library</OutputType>
    </PropertyGroup>
  </Project>
  "@
  $projPath | Out-File -Encoding ASCII -Force
  # 2. Компіляція шкідливого DLL з використанням msbuild (нестандартний шлях)
  $msbuildPath = "$env:ProgramFilesMicrosoft Visual Studio2022CommunityMSBuildCurrentBinMSBuild.exe"
  & $msbuildPath $projPath /p:OutDir=$env:TEMP /t:Build /p:Configuration=Release
  # 3. Створення запланованого завдання для виконання DLL через powershell
  $taskName = "SystemUpdater"
  $taskCmd = "powershell -ExecutionPolicy Bypass -File `"$dllPath`""
  $schPath = "$env:SystemRootSystem32schtasks.exe"
  & $schPath /Create /SC ONLOGON /TN $taskName /TR $taskCmd /RL HIGHEST /F
  # 4. Негайний запуск завдання
  & $schPath /Run /TN $taskName

• Команди очищення:

  # Видалити заплановане завдання
  $schPath = "$env:SystemRootSystem32schtasks.exe"
  & $schPath /Delete /TN "SystemUpdater" /F
  
  # Видалити файли корисного навантаження
  Remove-Item -Path "$env:TEMPbackdoor.cs","$env:TEMPbackdoor.csproj","$env:TEMPbackdoor.dll" -Force