Кампанія з отруєнням SEO доставляє шкідливе програмне забезпечення Armorsteal

Резюме

Кампанія з отруєння SEO використовує фальшиві вебсайти, що імітують Chocolatey та Microsoft Activation Scripts, для розповсюдження Armorsteal, сімейства шкідливих програм на основі Python. До складу цієї шкідливої програми входять модулі віддаленого доступу, спостереження та викрадення інформації, призначені для ексфільтрації чутливих даних, включаючи гаманці криптовалют та облікові дані браузера. Атака покладається на обфускацію Pyarmor і автоматично встановлює стійкість за допомогою планувальників задач.

Розслідування

Група Zscaler Threat Hunting виявила кампанію, відслідковуючи отруєні результати пошуку до доменів з помилками в іменах. Аналітики спостерігали розгортання середовища виконання Python 3.11 і ідентифікували підписи RSA-2048, що використовуються для верифікації команд. Розслідування також задокументувало зміни в інфраструктурі C2, оскільки зловмисник переміщався між доменами та провайдерами хостингу.

Захист

Організації повинні блокувати виявлені шкідливі домени та IP-адреси через засоби безпеки. Захисникам слід перевірити кінцеві точки на наявність несанкціонованих запланованих завдань і підозрілих файлів, що зберігаються в системних каталозіях Windows. Перегляд виключень Microsoft Defender та навчання користувачів перевіряти легітимні джерела завантаження програмного забезпечення також можуть допомогти зменшити ризик впливу кампанії.

Відповідь

Коли активність Armorsteal виявлена, негайно ізолюйте інфіковані системи та видаліть несанкціоновані заплановані завдання, такі як SysCheck2 та SysCheckX. Перевірте підозрілі файли в каталозі C:WindowsSystemHealthUpdate та перегляньте журнали PowerShell для виявлення шкідливих завантажень. Моніторьте вихідний HTTPS-трафік для відомих кінцевих C2 точок і перевіряйте процеси браузера, які запускаються з ввімкненими віддаленими портами налагодження.

Імітаційне виконання

• Сценарій атаки та команди: Зловмисник успішно обманув користувача через SEO-отруєння, змусивши його запустити шкідливий скрипт. Метою є установка модуля віддаленого доступу Armorsteal. Щоб уникнути виявлення, зловмисник використовує PowerShell-скрипт під назвою install.ps1 який при виконанні створює обманливу структуру каталогів C:WindowsSystemHealthUpdate щоб приховати його компоненти, маскуючись під легітимне оновлення системи здоров’я Windows.

• Сценарій тесту регресії:

  # Імітація паттерну встановлення Armorsteal
  # Крок 1: Створіть обманливу структуру каталогу
  $targetDir = "C:WindowsSystemHealthUpdate"
  if (!(Test-Path $targetDir)) {
      New-Item -Path $targetDir -ItemType Directory -Force
  }
  
  # Крок 2: Імітуйте виконання шкідливого інсталятора
  # Ця команда розроблена для активації логіки 'selection_powershell' та 'selection_directory'
  powershell.exe -ExecutionPolicy Bypass -File "install.ps1" -TargetDir "$targetDir"
  
  # Примітка: Якщо install.ps1 може не існувати локально, ми імітуємо тригер командного рядка
  # що саме й шукає Sigma правило.
  Start-Process "powershell.exe" -ArgumentList "-File install.ps1"
  
  # Крок 3: Створіть фальшивий файл у цьому каталозі, щоб задовольнити вимогу 'selection_directory'
  $dummyFile = Join-Path $targetDir "armorsteal_module.dll"
  New-Item -Path $dummyFile -ItemType "File" -Force

• Команди очищення:

  # Видаліть шкідливий каталог і файли, створені під час імітації
  Remove-Item -Path "C:WindowsSystemHealth" -Recurse -Force