Deep#Door Stealer: Тихий Python бекдор та крадій облікових даних із використанням тунелювання, багаторівневої стійкості та можливостей моніторингу в пам’яті

SOC Prime Team

Стежити

Deep#Door Stealer: Тихий Python бекдор та крадій облікових даних із використанням тунелювання, багаторівневої стійкості та можливостей моніторингу в пам’яті

Detection stack

AIDR
Alert
ETL
Query

Звіт про загрози
Потік атаки
Виявлення
Симуляції

Резюме

Звіт досліджує Deep#Door, приховану бекдор-програму на основі Python, яка доставляється через обфускований завантажувач у вигляді пакетного файлу, що впроваджує та реконструює свій шкідливий завантажувач під час виконання. Шкідливе програмне забезпечення використовує публічну службу тунелювання TCP для командного управління, встановлює кілька механізмів збереження, послаблює контролі безпеки Windows та підтримує широке спостереження та активність крадіжки облікових даних. Воно також здійснює детальні перевірки середовища на предмет уникнення аналізаторів та пісочниць, покладаючись на патчинг API в пам’яті для приховування під час виконання.

Дослідження

Дослідники з Securonix побудували повний ланцюжок зараження від початкового пакетного скрипта до вилучення, реконструкції та виконання остаточного RAT на Python. Їх аналіз виявив зловживання bore.pub для тунелювання, динамічно згенеровані порти і спеціальну послідовність аутентифікації, яка використовується для доступу оператора. Звіт також детально охарактеризував методи обходу захисту, техніки збереження, процедури виявлення системи та поведінку ексфільтрації даних шкідливого ПЗ.

Західні заходи

Захисникам слід уважно стежити за виконанням скриптів, включити журналювання PowerShell, виявляти несанкціоновані зміни в налаштуваннях Microsoft Defender та брандмауера, а також перевіряти записи автозавантаження, ключі Run та інші місця збереження. Моніторинг мережі також повинен бути зосереджений на вихідних з’єднаннях до bore.pub та незвичайну активність високих портів. Інструменти EDR, здатні виявити патчинг API та маніпуляції в пам’яті, можуть ще більше поліпшити видимість загрози.

Відповідь

Якщо виявлена активність Deep#Door, негайно ізолюйте постраждалий кінцевий пункт, зупиніть шкідливий процес Python, видаліть усі механізми збереження, включаючи стартові скрипти, ключі Run та підписки на WMI, та відновіть змінені налаштування Defender та журналування. Команди безпеки повинні також провести аналіз пам’яті та судову експертизу для ідентифікації прихованих програм і оцінки загрози крадіжки облікових даних, одночасно блокуючи мережеві комунікації до bore.pub.

"graph TB %% Class Definitions Section classDef action fill:#99ccff classDef tool fill:#ffcc99 classDef malware fill:#ff9999 classDef process fill:#ccccff %% Nodes Definitions action_user_execution["Дія – T1204 Виконання користувача: Жертва запускає шкідливий пакетний файл install_obf.bat"] class action_user_execution action tool_batch_file["Інструмент – Ім’я: install_obf.bat Опис: Пакетний скрипт, що запускає завантажувач"] class tool_batch_file tool action_obfuscation["Дія – T1027 Обфусковані файли або інформація: Витягує base64/XOR закодований Python-завантажувач (svc.py) за допомогою самопосилаючої PowerShell regex"] class action_obfuscation action tool_powershell["Інструмент – Ім’я: PowerShell Опис: Використовується для розбору пакетного файлу та декодування вбудованого завантажувача"] class tool_powershell tool tool_python["Інструмент – Ім’я: Python Опис: Виконує декодований завантажувач svc.py"] class tool_python tool action_defense_evasion_disable["Дія – T1562.001 Вимкнення чи редагування інструментів / T1562.004 Вимкнення чи редагування системного брандмауера / T1562.008 Вимкнення чи редагування хмарних журналів: Вимикає Windows Defender, журналювання PowerShell, SmartScreen та журналювання брандмауера"] class action_defense_evasion_disable action tool_setmp["Інструмент – Ім’я: Set-MpPreference Опис: Poweshell команда для зміни налаштувань Defender"] class tool_setmp tool tool_netsh["Інструмент – Ім’я: netsh advfirewall Опис: Змінює правила брандмауера Windows та журналювання"] class tool_netsh tool action_indicator_removal["Дія – T1070.001 Очистка журналів подій Windows та T1070.006 Timestomp: Зупиняє та очищає EventLog/Sysmon служби та змінює часові мітки файлів"] class action_indicator_removal action action_persistence_runkey["Дія – T1547.001 Ключі реєстру автозавантаження/Папка автозавантаження та T1053 Заплановане завдання/робота: Додає SystemServices.vbs в папку автозавантаження, створює ключ та заплановану задачу як резерв"] class action_persistence_runkey action tool_vbs_startup["Інструмент – Ім’я: SystemServices.vbs Опис: VBS скрипт, розміщений у %APPDATA%MicrosoftWindowsStart MenuProgramsStartup"] class tool_vbs_startup tool action_credential_access["Дія – T1003 Витяг облікових даних ОС, T1552.004 Приватні ключі, T1552.001 Облікові дані у файлах, T1555 Магазини паролів, T1555.005 Парольні менеджери: Збирає паролі браузера, Менеджер облікових даних Windows, SSH ключі, хмарні токени"] class action_credential_access action action_collection["Дія – T1056.001 Кейлогінг, T1113 Захоплення екрану, T1125 Захоплення відео, T1123 Захоплення аудіо, T1115 Дані буфера обміну: Фіксація натискань клавіш, скріншотів, відео з веб-камери, аудіо з мікрофона та буфера обміну"] class action_collection action action_discovery["Дія – T1082 Виявлення інформації системи, T1518 Виявлення програмного забезпечення, T1057 Виявлення процесів, T1046 Виявлення мережевих служб, T1018 Виявлення віддаленої системи, T1526 Виявлення хмарних служб: Збір даних про ОС, апаратне забезпечення, програмне забезпечення, процеси, мережеві та хмарні конфігурації"] class action_discovery action action_defense_evasion_reflective["Дія – T1620 Відбивальне завантаження коду та T1497.003 Уникнення віртуалізації/пісочниці: На основі часу: Виявляє відладчики, віртуальні машини та характеристики пісочниць і перериває виконання"] class action_defense_evasion_reflective action action_c2_tunneling["Дія – T1572 Тунелювання протоколу: Встановлює зашифрований тунель через публічну службу bore.pub, виконує динамічне сканування портів та автентифікацію з викликом-відповіддю"] class action_c2_tunneling action action_exfiltration["Дія – T1041 Ексфільтрація через канал C2 та T1048.002 Ексфільтрація через альтернативний протокол: Асиметрично зашифрований незахищений C2: Відправка зібраних даних через тунельний канал"] class action_exfiltration action action_impact_forkbomb["Дія – T1499.002 Перевантаження сервісу: Виконує форк-бомбу для споживання системних ресурсів"] class action_impact_forkbomb action %% Connections showing attack flow action_user_execution –>|виконує| tool_batch_file tool_batch_file –>|містить| action_obfuscation action_obfuscation –>|використовує| tool_powershell tool_powershell –>|декодує та запускає| tool_python tool_python –>|виконує| action_defense_evasion_disable action_defense_evasion_disable –>|використовує| tool_setmp action_defense_evasion_disable –>|використовує| tool_netsh action_defense_evasion_disable –>|веде до| action_indicator_removal action_indicator_removal –>|передує| action_persistence_runkey action_persistence_runkey –>|додає| tool_vbs_startup action_persistence_runkey –>|включає| action_credential_access action_credential_access –>|включає| action_collection action_collection –>|постачає дані в| action_discovery action_discovery –>|підтримує| action_defense_evasion_reflective action_defense_evasion_reflective –>|встановлює| action_c2_tunneling action_c2_tunneling –>|переносить| action_exfiltration action_exfiltration –>|тригерить| action_impact_forkbomb "

Deep#Door Stealer: Тихий Python бекдор та крадій облікових даних із використанням тунелювання, багаторівневої стійкості та можливостей моніторингу в пам’яті

Резюме

Дослідження

Західні заходи

Відповідь

Поточний потік атаки

Детекції

Можливі точки збереження [ASEP – Програмне забезпечення/ NTUSER Hive] (через подію реєстру)

Підозрілі рядки PowerShell (через cmdline)

Виклик підозрілих .NET класів/методів з командного рядка PowerShell (через створення процесу)

Можливе відкриття віддаленої системи або перевірка зв’язку (через cmdline)

Можливе перерахування або маніпуляція облікового запису або групи (через cmdline)

Можливе використання тайм-ауту для затримки виконання (через cmdline)

LOLBAS WScript / CScript (через створення процесу)

Вимкнення моніторингу в реальному часі Windows Defender і інші зміни конфігурацій (через cmdline)

Підозрілі рядки PowerShell (через powershell)

Підозрілі зміни у налаштуваннях Windows Defender (через powershell)

Підозрілі двійкові файли/скрипти в автозапусковому просторі (через подію файлу)

Виявлення C2 комунікації через публічний TCP тунельний сервіс [Windows Network Connection]

Команда PowerShell для вилучення вбудованого завантажувача Python [Windows Powershell]

Виявлення розгортання прихованого Python бекдора Deep#Door [створення процесу Windows]

Виявлення використання сервісу TCP тунелювання Bore.pub для C2 комунікацій [Windows Network Connection]

Вимкнено моніторинг в реальному часі та поведінковий моніторинг Windows Defender [Windows Powershell]

Виконання обфускованого пакетного скрипта Deep#Door [створення процесу Windows]

Команда PowerShell, що вимикає функції Windows Defender [Windows Powershell]

Виявлення виконання прихованого Python бекдора Deep#Door [Windows Process Creation]

Виявлення прихованої C2 комунікації через bore.pub [Windows Network Connection]

Виявлення злодія Deep#Door з використанням PowerShell та підробки брандмауера [Windows Powershell]

Виконання симуляції