Демон приходить пізніше: стейджер Havoc приховується за Microsoft Defender DLP

Резюме

Зловмисники в Бразилії поширюють підроблені електронні рахунки NF-e ZIP-вкладення, що доставляють шкідливий MSI-інсталятор. MSI скидає підроблений Microsoft Defender Endpoint DLP DLL, який фактично функціонує як завантажувач Havoc. Після запуску, завантажувач з’єднується з сервером командування та керування, отримує в пам’яті навантаження Havoc і створює стійкість через Сценарій входу значення реєстру. Подібні варіанти також спостерігалися на доменах, зареєстрованих у Малайзії, із використанням тієї самої оболонки доставки.

Розслідування

LevelBlue SpiderLabs проаналізували архів ZIP, VBS дропер та MSI пакет, виявивши підписаний бінарний файл Microsoft, mpextms.exe, у парі з непідписаним endpointdlp.dll завантажувачем. Завантажувач містив конфігураційні значення у відкритому тексті, включаючи хост командування та керування, URL шляхи та рядок мутексу. Захоплення мереж показало GET і POST трафік до певних IP-адрес разом з унікальними значеннями користувацьких агентів. Дослідники ідентифікували дев’ять споріднених варіантів завантажувача, що мали спільні метадані версії та хеш-імпорт.

Мітигація

Захисники повинні виявляти непідписані DLL, що маскуються під компоненти Microsoft Defender Endpoint DLP або Dragon Data Protection, та моніторити зміни у HKCUEnvironmentUserInitMprLogonScript, і попереджати про відомий значення мутексу. Опубліковане YARA правило слід впровадити для виявлення завантажувача до завантаження навантаження Havoc. Команди безпеки також повинні перевіряти підписи Authenticode на всіх бінарних файлах від Microsoft, які доставляються всередині архівів.

Відповідь

Якщо виявлено цю активність, заблокуйте пов’язані IP-адреси та домени, помістіть у карантин MSI та DLL файли, і видаліть шкідливий Сценарій входу запис у реєстрі. Проведіть судово-медичну експертизу хоста, щоб підтвердити, що в пам’яті більше неактивний навантаження Havoc, і змінюйте облікові дані для постраждалих користувачів. Відповідні бізнес-команди повинні бути проінформовані, а захист електронної пошти має бути оновлено для блокування подібних вкладень з темою NF-e.

Виконання симуляції

Необхідна умова: Телеметрія та перевірка бази даних повинні пройти.

Аргументація: У цьому розділі детально описується точне виконання техніки супротивника (TTP), призначеної для запуску правила виявлення. Команди та наратив МАЮТЬ безпосередньо відображати TTPs, які ідентифіковано, і прагнучи створити точну телеметрію, яку очікує логіка виявлення.

• Розповідь атаки та команди:
  Зловмисник, який вже отримав початкову точку доступу на машині жертви, бажає зберігати стійкість на всіх входах користувачів. Вони обирають значення UserInitMprLogonScript тому що воно запускається до запуску оболонки користувача, надаючи раннє виконання коду. Зловмисник розміщує прихований бінарний файл mpextms.exe (перейменовану версію rundll32.exe) у папці AppData користувача та створює шкідливий DLL endpointdlp.dll який виконує злив даних облікових записів. Встановивши значення реєстру на "%APPDATA%mpextms.exe" "%APPDATA%endpointdlp.dll", зловмисник забезпечує, що при кожному вході DLL завантажується через підписаний проксі, дотримуючись rundll32.exe у той же час уникаючи простих білих списків бінарних файлів. у той же час уникаючи простих білих списків бінарних файлів. and у той же час уникаючи простих білих списків бінарних файлів. while evading naive binary whitelists.

• Сценарій тестування регресії:

  # -------------------------------------------------
  # Крок 1: Підкидання шкідливих бінарних файлів (симуляція)
  $payloadDir = "$env:APPDATAMalicious"
  New-Item -ItemType Directory -Path $payloadDir -Force | Out-Null
  
  # Симульоване 'mpextms.exe' – з використанням rundll32.exe, перейменованого для реалістичності
  $src = "$env:SystemRootSystem32rundll32.exe"
  $dstExe = Join-Path $payloadDir "mpextms.exe"
  Copy-Item -Path $src -Destination $dstExe -Force
  
  # Симульований шкідливий DLL (порожній файл для тестових цілей)
  $dllPath = Join-Path $payloadDir "endpointdlp.dll"
  New-Item -ItemType File -Path $dllPath -Force | Out-Null
  
  # Крок 2: Створення запису стійкості в реєстрі
  $regPath = 'HKCU:Environment'
  $regName = 'UserInitMprLogonScript'
  $regValue = "`"$dstExe`" `"$dllPath`""
  Set-ItemProperty -Path $regPath -Name $regName -Value $regValue -Force
  
  Write-Host "Створено запис стійкості: $regName = $regValue"
  # -------------------------------------------------

• Команди очищення:

  # Видалення запису стійкості в реєстрі
  Remove-ItemProperty -Path 'HKCU:Environment' -Name 'UserInitMprLogonScript' -ErrorAction SilentlyContinue
  
  # Видалення скинутих файлів
  $payloadDir = "$env:APPDATAMalicious"
  Remove-Item -Path $payloadDir -Recurse -Force -ErrorAction SilentlyContinue
  
  Write-Host "Очищення завершено."