Операція Посейдон: Фішингові атаки, які використовують механізми перенаправлення Google Ads

Резюме

Операція Poseidon — це кампанія зі spear-фішингу, яка приписується Konni APT, що використовує URL-адреси відстеження/перенаправлення кліків Google і Naver для доставки шкідливих LNK-файлів ярликів. При відкритті LNK запускає AutoIt-завантажувач, який виконує EndRAT переважно в пам’яті. Операція покладається на компрометовані сайти WordPress для хостингу корисних навантажень і служб командування та управління (C2).

Розслідування

Служба безпеки Genians переглянула фішингові електронні листи, вкладені трекінгові маяки та хід виконання від запуску LNK-ярликів до логіки підготовки AutoIt і розгортання EndRAT в пам’яті. Аналітики також відзначили повторне використання інфраструктури та артефактів розробки, включаючи домен jlrandsons.co.uk і шлях збірки D:3_Attack WeaponAutoitBuild__Poseidon – Attackclient3.3.14.a3x.

Захист

Запобігайте виконанню LNK-файлів, доставлених всередині ZIP-архівів, і ретельно перевіряйте ланцюги перенаправлення кліків реклам, що походять з доменів відстеження Google/Naver. Забезпечуйте суворе покриття EDR для діяльності AutoIt і підозрілих процесів (особливо аномальні запуски PowerShell або cmd.exe). Зменшуйте зловживання інфраструктурою, посилюючи безпеку і регулярно виправляючи уразливості WordPress, щоб обмежити їх використання як точки розповсюдження шкідливого ПЗ.

Реагування

Повідомляти про початкові події виконання LNK, відзначати запуски AutoIt.exe, ініційовані взаємодією користувача, і моніторити вихідні підключення до визначених доменів і IP-адрес C2. Ізолюйте підозрілі кінцеві точки і збирайте судові артефакти, включаючи скрипт AutoIt, метадані LNK та будь-які відновлені компоненти EndRAT, для підтримки охоплення й викорінення.

Виконання симуляції

Передумова: Перевірка телеметрії та базових показників повинна пройти успішно.

Підстава: Цей розділ описує точне виконання техніки супротивника (TTP), призначеної для запуску правила виявлення. Команди та наратив ПОВИННІ безпосередньо відображати ідентифіковані TTP і націлені на створення точної телеметрії, очікуваної логікою виявлення.

• Опис атаки та команди:

  Зловмисник створює шкідливий ярлик (malicious.lnk), що вказує на powershell.exe з закодованою командою для завантаження та виконання корисного навантаження. Ярлик доставляється через spear-фішинг електронний лист. При подвійному кліці Windows Explorer обробляє .lnk, створюючи powershell.exe як дочірній процес LNK. Такий точний зв’язок батько-дитина відповідає правилу Sigma execution_after_LNK умова.

• Скрипт для тестування на регресію:

  # -------------------------------------------------------------
  # Створення шкідливого LNK, що запускає PowerShell з закодованою командою
  # -------------------------------------------------------------
  $WshShell = New-Object -ComObject WScript.Shell
  
  # Шлях, де буде створено LNK (Робочий стіл)
  $lnkPath = "$Env:UserProfileDesktopmalicious.lnk"
  
  # Цільове виконуване
  $target = "$Env:SystemRootSystem32WindowsPowerShellv1.0powershell.exe"
  
  # Приклад закодованої команди (створює текстовий файл як безпечний індикатор)
  $plainCmd = "New-Item -Path $Env:Tempposeidon_test.txt -ItemType File -Force"
  $bytes = [System.Text.Encoding]::Unicode.GetBytes($plainCmd)
  $encoded = [Convert]::ToBase64String($bytes)
  
  $arguments = "-EncodedCommand $encoded"
  
  $shortcut = $WshShell.CreateShortcut($lnkPath)
  $shortcut.TargetPath = $target
  $shortcut.Arguments = $arguments
  $shortcut.Save()
  
  Write-Host "LNK створено в $lnkPath"
  
  # -------------------------------------------------------------
  # Виконання LNK для запуску правила виявлення
  # -------------------------------------------------------------
  Start-Process -FilePath $lnkPath
  
  # -------------------------------------------------------------
  # Опціонально: пауза для SIEM
  # -------------------------------------------------------------
  Start-Sleep -Seconds 10
  
  # -------------------------------------------------------------
  # Очищення (видалити індикаторний файл, LNK та індикатор)
  # -------------------------------------------------------------
  Remove-Item -Path "$Env:Tempposeidon_test.txt" -ErrorAction SilentlyContinue
  Remove-Item -Path $lnkPath -ErrorAction SilentlyContinue
  
  Write-Host "Очистка завершена."

• Команди очищення: (якщо вищезгаданий скрипт не використовувався)

  # Видалення будь-яких індикаторних файлів, створених під час теста
  Remove-Item -Path "$Env:Tempposeidon_test.txt" -ErrorAction SilentlyContinue
  
  # Видалення шкідливого ярлика
  $lnkPath = "$Env:UserProfileDesktopmalicious.lnk"
  Remove-Item -Path $lnkPath -ErrorAction SilentlyContinue
  
  Write-Host "Тестові артефакти видалено."