DarkGate Під Капотом

Резюме

DarkGate — це завантажувач на основі Delphi, що продається як шкідливе програмне забезпечення як послуга на кримінальних ринках. Він включає повну функціональність RAT, динамічну резолюцію API і багатошарові трюки ухилення, такі як користувацькі набори символів base64, Union-API–стиль системний виклик завантаження, та APC ін’єкцію. Інструмент, приписаний продавцю “RastaFarEye”, був прийнятий такими акторами, як TA577 та Ducktail. Він спілкується з C2 через HTTP з обфускованими навантаженнями та може розгортати утиліти віддаленого робочого столу, красти токени Discord і запускати інтерактивну зворотну оболонку.

Аналіз шкідливого ПЗ DarkGate

Публікація пропонує детальний процес реверс-інжинірингу виконуваного файлу DarkGate, пояснюючи його індивідуальне змішування конфігурацій, генерацію BotID на основі XOR та шифроване логування. Він каталогізує техніки збереження завантажувача, шляхи ескалації привілеїв, робочі процеси викрадення токенів та зловживання легітими бінарними файлами, такими як PsExec і Extexport для побічного завантаження DLL. Стаття також документує шаблони C2 комунікацій, стандартні hVNC облікові дані та типові HTTP порти, що використовуються (2351 і 9999).

Захист

Сині команди повинні стежити за створенням згаданих файлів і записів запуску в реєстрі, негайно анулювати або блокувати стандартні облікові дані hVNC і виявляти використання PsExec та Extexport для несанкціонованого завантаження DLL. Аналітика поведінки повинна охоплювати використання Union-API системних викликів, APC ін’єкцію через NtTestAlert і підробку PID-батька. Захист мережі може виявляти дивні HTTP порти і намагатися декодувати користувацькі алфавіти base64 DarkGate для виявлення трафіку C2.

Відповідь

Як тільки активність DarkGate підтверджена, ізолюйте уражену кінцеву точку, зберіть задокументовані артефакти, знищіть шкідливі процеси і очистіть всі точки опори збереження. Оновіть будь-які розкриті облікові дані і блокуйте відомі домени і діапазони IP C2. Детальний судово-медичний перегляд повинен виявити всі вторинні навантаження і підтвердити, що всі DLL, завантажені через Extexport або пов’язані з ним завантажувачі, були ліквідовані.

Виконання моделювання

Передумова: Телеметрія та перевірка попереднього польоту повинні бути пройдені.

• Сценарій атаки та команди:
  Імітований супротивник вже проник у кінцеву точку і намагається встановити постійний доступ через RDP. Спочатку вони збирають облікові дані, зберігаючи їх за допомогоюcmdkey, потім використовуютьpsexec.exeдля руху латерально і, нарешті, запускають навантаження PowerShell, яке встановлює фрагмент кейлогера. Кожен крок розроблений для генерації точних подій створення процесу, які відслідковує правило виявлення.

  1. Збір облікових даних (T1552.001)– Зберігати створений запис облікових даних, що відповідаєselection_cmdkeyшаблону правила.
  2. Латеральний рух (T1219)– Виконатиpsexec.exeна віддаленому хості, викликавши команду, яка відкриває нову сесію PowerShell.
  3. Виконання PowerShell (T1059.001)– Запустити команду PowerShell, яка завантажує шкідливий скрипт (тут змодельовано за допомогою base64‑кодування безпечної команди).
  4. Встановлення кейлогера (T1056.001)– Скомпілювати і виконати невелику бінарну програму на C, яка викликаєGetAsyncKeyState, генеруючиAPIпідходження поля.

• Скрипт регресійного тестування:

  # Скрипт моделювання DarkGate – PowerShell
  # --------------------------------------------------
  # 1. Запис облікових даних Cmdkey (відповідає шаблону виявлення)
  $generic = '""'                         # пустий generic, як використовується DarkGate
  $user    = 'SafeMode'                   # ім'я користувача, яке очікує правило
  $pass    = 'darkgatepassword0'          # пароль, який очікує правило
  cmd.exe /c cmdkey /generic:$generic /user:$user /pass:$pass
  
  # 2. Латеральний рух PsExec (бінарний файл повинен бути в PATH або вказати повний шлях)
  $remoteHost = '10.0.0.5'
  $psexecPath = "$env:SystemRootSystem32psexec.exe"
  if (Test-Path $psexecPath) {
      & $psexecPath \$remoteHost -accepteula cmd /c "whoami"
  } else {
      Write-Host "PsExec не знайдено на $psexecPath – пропускаємо цей крок."
  }
  
  # 3. Виконання PowerShell (base64‑кодування безпечної команди)
  $psCommand = 'Write-Output "Виконано навантаження PowerShell"'
  $encoded = [Convert]::ToBase64String([Text.Encoding]::Unicode.GetBytes($psCommand))
  powershell.exe -EncodedCommand $encoded
  
  # 4. Компиляція і виконання фрагмента кейлогера
  $cSource = @"
  #include <windows.h>
  int main() {
      // Простий виклик до GetAsyncKeyState для забезпечення відповідності API
      GetAsyncKeyState(VK_RETURN);
      return 0;
  }
  "@
  $srcPath = "$env:TEMPkeylog_stub.c"
  $exePath = "$env:TEMPkeylog_stub.exe"
  $cSource | Set-Content -Path $srcPath -Encoding ASCII
  # Скомпілювати з Visual C++ (cl.exe повинен бути в PATH)
  cl.exe /nologo /O2 /Fe:$exePath $srcPath
  if (Test-Path $exePath) {
      & $exePath
  }

• Команди очищення:

  # Прибрати запис облікових даних
  cmd.exe /c cmdkey /delete:$generic
  
  # Видалити тимчасові файли
  Remove-Item -Force -ErrorAction SilentlyContinue "$env:TEMPkeylog_stub.c"
  Remove-Item -Force -ErrorAction SilentlyContinue "$env:TEMPkeylog_stub.exe"
  
  # Необов'язково: завершити будь-які stray процеси psexec або powershell, запущені скриптом
  Get-Process -Name psexec, powershell -ErrorAction SilentlyContinue | Stop-Process -Force