[Операційний Звіт] Від Фішингу SSA до AdaptixC2: Багато-Загрожуюче Проникнення

SOC Prime Team

Стежити

[Операційний Звіт] Від Фішингу SSA до AdaptixC2: Багато-Загрожуюче Проникнення

Detection stack

AIDR
Alert
ETL
Query

Звіт про загрози
Потік атаки
Виявлення
Симуляції

Резюме

Зловмисник здійснив багатошарове комерційне проникнення, почавши з фішингового електронного листа на тему адміністрації соціального забезпечення США. Операція базувалася на AdaptixC2 як основній командно-контрольній платформі, використовувала XWorm як другий канал доступу та для ексфільтрації через Telegram, а також розгорнула ScreenConnect для підтримки активності з клавіатури. Кампанія також виявила високий рівень дисципліни за рахунок використання обману імен файлів RTLO і кількох шляхів стійкості, розроблених для виживання після часткового усунення.

Розслідування

Розслідування відбулося в середовищі Deception.Pro з використанням робочої станції обману. Оскільки інспекція TLS була включена, дослідники змогли відновити текстовий трафік маяків, URL завантаження корисного навантаження та сигнатури з’єднань ScreenConnect. Така видимість дозволила віднести проникнення до певних платформ з високою впевненістю, замість того щоб залежати лише від поведінкових або відбиткових припущень.

Пом’якшення

Організації повинні знизити ризики, ввімкнувши інспекцію TLS для зашифрованого командно-контрольного трафіку та запровадивши EDR, здатний виявляти certutil-використання під час етапування та підозріле виконання PowerShell. Видимість розширень файлів повинна бути забезпечена, щоб послабити трюки з обманом назв файлів на основі RTLO, а запис у реєстрі Run-key до загальнодоступних або до місць, доступних для запису користувачами, повинні контролюватися пильно. Команди також повинні проводити інвентаризацію і піднімати тривогу щодо несанкціонованих засобів віддаленого управління, таких як ScreenConnect, особливо коли їх інстальовано через msiexec.

Відповідь

Якщо ця активність виявляється, відразу ж ізолюйте уражені кінцеві точки, щоб припинити командно-контрольний трафік і запобігти подальшим латеральним переміщенням через SAMR або LSAD. Проведіть повне судово-медичне обстеження для виявлення бібліотек XWorm DLL і артефактів AdaptixC2 у загальнодоступних папках та інших загальних шляхах етапування. Дослідники повинні також перевіряти шаблони ексфільтрації, пов’язані з Telegram, і перевіряти ключі стійкості реєстру, що імітують легітимні імена оновлювачів.

graph TB %% Секція визначення класів classDef action fill:#99ccff classDef tool fill:#cccccc classDef malware fill:#ff9999 classDef discovery fill:#ccffcc %% Визначення вузлів %% Початковий доступ та виконання action_phishing[“Дія – T1566.002 Фішинг: цільове фішингове посилання Жертва отримує підроблений електронний лист нібито від SSA, який містить посилання на архів RAR.”] class action_phishing action action_masquerade[“Дія – T1036.008 Маскування: підміна типу файлу Зловмисник використовує прийом RTLO для маскування PE32-виконуваного файлу під PDF-документ (.fdp.exe).”] class action_masquerade action action_user_exec[“Дія – T1204.002 Виконання користувачем: шкідливий файл Користувач взаємодіє із замаскованим шкідливим файлом.”] class action_user_exec action %% Завантаження інструментів та закріплення tool_certutil[“Інструмент – Назва: certutil.exe Опис: Вбудована утиліта Windows, що використовується для завантаження корисного навантаження AdaptixC2.”] class tool_certutil tool action_ingress[“Дія – T1105 Передача інструментів до системи Корисне навантаження завантажується з cloudpre-005[.]online.”] class action_ingress action action_persistence[“Дія – T1547.001 Автозапуск під час завантаження або входу в систему: ключі Run реєстру / папка Startup Створює ключі реєстру PayloadService, JavaUpdater та Updater у C:\Users\Public\.”] class action_persistence action %% C2 та віддалений доступ malware_adaptix[“Шкідливе ПЗ – Назва: AdaptixC2 Опис: Агент-маяк, що використовується для операцій командування та керування (C2).”] class malware_adaptix malware action_c2_web[“Дія – T1071.001 Протокол прикладного рівня: вебпротоколи AdaptixC2 здійснює beacon-комунікацію з визначеними веб-URL.”] class action_c2_web action tool_screenconnect[“Інструмент – Назва: ScreenConnect Опис: Засіб віддаленого доступу, розгорнутий для інтерактивного керування.”] class tool_screenconnect tool action_remote_access[“Дія – T1219 Засоби віддаленого доступу Розгортання двох незалежних клієнтів для підтримки інтерактивного доступу.”] class action_remote_access action %% Ексфільтрація та розвідка malware_xworm[“Шкідливе ПЗ – Назва: XWorm Опис: Шкідливе ПЗ, що використовується для передачі викрадених даних через Telegram.”] class malware_xworm malware action_exfil[“Дія – T1567 Ексфільтрація через вебсервіс Дані виводяться за допомогою Telegram Bot API.”] class action_exfil action action_discovery[“Дія – T1069.002 Виявлення груп дозволів: групи домену Перерахування доменного середовища через SAMR та LSAD RPC.”] class action_discovery discovery %% Зв’язки action_phishing –>|призводить_до| action_masquerade action_masquerade –>|призводить_до| action_user_exec action_user_exec –>|ініціює| tool_certutil tool_certutil –>|виконує| action_ingress action_ingress –>|встановлює| malware_adaptix malware_adaptix –>|створює| action_persistence malware_adaptix –>|використовує| action_c2_web action_remote_access –>|використовує| tool_screenconnect malware_adaptix –>|розгортає| action_remote_access malware_adaptix –>|керує| malware_xworm malware_xworm –>|виконує| action_exfil malware_adaptix –>|виконує| action_discovery

Потік Атаки

Наратив нападу та команди: Зловмисник успішно закріпився на цільовій машині через спарфішингове посилання. Для підтримки контролю та отримання інструкцій, агент AdaptixC2 намагається “відомити” своєму серверу команд і контролю. Агент запрограмований для зв’язку з заздалегідь визначеним URI (98.81.111.167/updates/check.php) або резервною IP-адресою (23.20.229.225) через порт 443. Завдяки симуляції цих точних спроб підключення, ми підтверджуємо, чи правильно визначає ці відомі шкідливі шаблони правило виявлення брандмауера/мережі.

Сценарій регресійного тестування: Цей сценарій використовує PowerShell для імітації двох різних спроб підключення: одна, що цілить на конкретний URL, і одна, яка цілить на конкретну IP-адресу.

# Симуляція комунікації AdaptixC2 C2
Write-Host "[+] Початок симуляції AdaptixC2..." -ForegroundColor Cyan

# Сценарій 1: Підключення до конкретного шкідливого шаблону URL
Write-Host "[+] Спроба підключення до шкідливого URL: 98.81.111.167/updates/check.php" -ForegroundColor Yellow
try {
    # Ми використовуємо -ErrorAction SilentlyContinue, тому що IP, швидше за все, не відповість або не вирішиться, 
    # але сама спроба підключення створить телеметрію.
    Invoke-WebRequest -Uri "http://98.81.111.167/updates/check.php" -Method Get -ErrorAction SilentlyContinue
} catch {
    Write-Host "[!] Підключення не вдалося (очікувано), але телеметрія повинна бути згенерована." -ForegroundColor Gray
}

# Сценарій 2: Підключення до конкретної шкідливої IP на порту 443
Write-Host "[+] Спроба підключення до шкідливої IP: 23.20.229.225 на порті 443" -ForegroundColor Yellow
try {
    $tcpClient = New-Object System.Net.Sockets.TcpClient
    $connection = $tcpClient.BeginConnect("23.20.229.225", 443, $null, $null)
    $success = $connection.AsyncWaitHandle.WaitOne(5000, $false)
    if ($success) {
        Write-Host "[+] Підключення успішне (малоймовірно у реальному тесті)." -ForegroundColor Green
    } else {
        Write-Host "[!] Тайм-аут підключення (очікувано), але телеметрія повинна бути згенерована." -ForegroundColor Gray
    }
    $tcpClient.Close()
} catch {
    Write-Host "[!] Помилка під час спроби TCP-підключення." -ForegroundColor Red
}

Write-Host "[+] Симуляція завершена." -ForegroundColor Cyan

Команди прибирання:

# Жодні постійні артефакти не були створені цією симуляцією, оскільки вона лише генерує мережевий трафік.
Write-Host "[+] Прибирання не потрібне. Мережеві підключення були тимчасовими." -ForegroundColor Green

Приєднуйтесь до платформи Detection as Code від SOC Prime щоб покращити видимість загроз, найбільш актуальних для вашого бізнесу. Щоб допомогти вам розпочати та отримати негайну цінність, забронюйте зустріч зараз з експертами SOC Prime.

Приєднатися безкоштовно