Лінднор Бекдор і інструменти вбивці безпеки, використані в США в атаці з викупом

Резюме

Атака програми-здирника на організацію в США включала використання здирника Anubis та нововиявленого спеціального бекдора, відомого як Backdoor.Lindnor. Нападники застосували кілька інструментів типу «принеси свій уразливий драйвер» (BYOVD) та виконувані файли для відключення безпеки, щоб отримати доступ на рівні ядра. Вторгнення було зрештою зупинено до того, як почалася стадія шифрування здирника.

Розслідування

Розслідування почалося після того, як бекдор Lindnor був виявлений на двох системах Microsoft SQL Server. Аналітики з’ясували, що нападники маскували шкідливе ПЗ під компоненти, пов’язані з Chrome та VMware, застосовуючи кілька інструментів для завершення роботи служб безпеки. Було також відзначено використання легітимного ПЗ віддаленого доступу, такого як AnyDesk, налаштованого на роботу в безпечному режимі.

Мітигація

Організації повинні налаштувати засоби безпеки для блокування несанкціонованого завантаження драйверів і зниження експозиції до технік BYOVD. Строгий контроль виконання для непідписаних або відомих уразливих драйверів є важливим. Команди безпеки також повинні контролювати наявність несанкціонованих інструментів віддаленого доступу і підозрілих змін реєстру, пов’язаних з персистентністю або виконанням у безпечному режимі.

Відповідь

Коли виявляється підозріла активність, ізолюйте уражені системи SQL Server і проведіть аудит нещодавно встановлених виконуваних файлів і драйверів. Проведіть комплексний пошук бекдора Lindnor і пов’язаних файлів, таких як healthcontroller64.exe or svchelper.exe. Перевірте ключі реєстру на наявність змін, пов’язаних з AnyDesk, і проведіть розслідування щодо створення несанкціонованих локальних облікових записів користувачів.

Виконання симуляції

• Нарратив атаки та команди: Зловмисник отримав початковий доступ і має намір встановити стійкий канал віддаленого доступу, що вціліє після перезавантаження у безпечний режим. Щоб уникнути виявлення стандартним моніторингом папок автозапуску, атакуючий цікавиться налаштуваннями реєстру Windows Safe Boot. Вони використовують reg.exe щоб ввести нове значення в ключ реєстру SafeBootNetwork, специфічно назвавши його "AnyDesk" і налаштувавши як "Service". Це забезпечує автоматичний запуск AnyDesk, коли технік або нападник активує безпечний режим, надаючи бекдор у той час, коли основний антивірусний пакет неактивний. registry key, specifically naming it “AnyDesk” and setting it to “Service”. This ensures that when a technician or the attacker triggers Safe Mode, AnyDesk starts automatically, providing a backdoor while the primary security suite is inactive.

• Скрипт регресійного тестування:

  # Скрипт симуляції для моделювання персистентності AnyDesk у безпечному режимі за допомогою reg.exe
  # Ця команда відповідає певним рядкам у логіці виявлення.
  
  $registryPath = "HKLMSYSTEMCurrentControlSetControlSafeBootNetworkAnyDesk"
  $command = "reg add `"$registryPath`" /ve /t REG_SZ /d Service /f"
  
  Write-Host "[*] Виконання команди симуляції: $command"
  Invoke-Expression $command
  
  if ($LASTEXITCODE -eq 0) {
      Write-Host "[+] Успіх: Телеметрія повинна бути згенерована."
  } else {
      Write-Host "[-] Невдача: Команда не виконана. Переконайтеся, що скрипт запускається як адміністратор."
  }

• Команди очищення:

  # Скрипт очищення для видалення симульованого ключа реєстру
  $registryPath = "HKLMSYSTEMCurrentControlSetControlSafeBootNetworkAnyDesk"
  Write-Host "[*] Очищення: Видалення $registryPath"
  reg delete "$registryPath" /f