MuddyWater’s Rust Pivot: Inside the RustyWater Implant

Резюме

MuddyWater запустила кампанію з фішингу, спрямовану на дипломатичні, морські, фінансові та телекомунікаційні організації на Близькому Сході. Атакуючі використовували шкідливі документи Word із вбудованими макросами для розгортання RustyWater, імпланта на базі Rust. Після встановлення шкідливе програмне забезпечення здійснює персистенцію через ключ реєстру Run, спілкується з командним центром через HTTP та впорскує код у explorer.exe, щоб зливатися з нормальною діяльністю користувачів. Імплант включає засоби захисту від аналізу та підтримує модульну функціональність після компрометації для розширення контролю атакуючого.

Розслідування

Команда TRIAD компанії CloudSEK проаналізувала шкідливий документ, відновила закодований у шістнадцятковій формі завантажувальний файл та ідентифікувала виконуваний файл Rust reddit.exe. Статична перевірка показала використання бібліотеки reqwest для C2 через HTTP, механізму векторизованого обробника виключень для боротьби з налагодженням і персистенцію через шлях реєстру CurrentUser Run. Динамічні випробування підтвердили процеси ін’єкції в explorer.exe та асинхронне поводження C2 з рандомізуванням часу виклику. Розслідування зібрало ключові індикатори, такі як хеші, артефакти реєстру та шкідливі домени, які використовуються для зв’язку.

Пом’якшення

Слідкуйте за підозрілими змінами в HKCUSoftwareMicrosoftWindowsCurrentVersionRun, особливо за записами, що вказують на виконувані файли, розміщені в ProgramData. Виявляйте ланцюги виконання, що управляються макросами, де Office породжує cmd.exe через WScript.Shell. Додайте моніторинг мережі для HTTP-трафіку з шаблонами, що відповідають JSON → Base64 → XOR кодуванню, і для маячення з рандомізованим jitter. Посильте контроль електронної пошти для блокування або карантинування вкладень Word з макросами від невідомих або неперевірених відправників.

Відповідь

Якщо виявлено діяльність RustyWater, ізолюйте кінцеву точку і отримайте образ пам’яті, щоб підтримати аналіз ін’єкцій. Видаліть шкідливі ключі персистенції Run і знищіть будь-які файли, що впали в ProgramData. Блокуйте ідентифіковані C2 домени та IP-адреси на периметрових засобах. Розширте пошуки, щоб ідентифікувати пов’язану макроактивність та артефакти ін’єкції explorer.exe в інфраструктурі для забезпечення повного стримування.