Кампанія Pawn Storm впроваджує PRISMEX, націлюється на урядові та критично важливі інфраструктурні об’єкти

Резюме

Якщо виявлена активність PRISMEX, негайно ізолюйте уражені системи, захопіть мінливу пам’ять для вилучення завантажених у пам’ять .NET збірок, та полюйте за характерними стеганографічними PNG носіями та реєстраційними записами захоплення COM. Заблокуйте всі Filen.io субдомени та wellnesscaremed.com домен, та застосуйте виявлення та блокування на основі ІОС для визначених імен файлів і запланованого завдання.

Відповідь

Організації мають без затримки оновити CVE-2026-21509 та CVE-2026-21513, обмежити доступ до несанкціонованих хмарних сховищ, та вимкнути об’єкт Shell.Explorer.1 COM через реєстр. Захисники повинні забезпечити виконання обмежень макросів, моніторинг реєстрації COM під HKCU\Software\Classes\CLSID, і переглядати підозрілі заплановані завдання, такі як OneDriveHealth. Також повинно бути увімкнене журналювання ETW для виявлення несподіваних завантажень CLR всередині explorer.exe.

Пом’якшення

Дослідники з TrendAI ідентифікували компоненти інструментального набору PRISMEX — PrismexSheet, PrismexDrop, PrismexLoader і PrismexStager — та пов’язали їх з попередньою активністю Pawn Storm. Вони виявили докази того, що нападники підготували інфраструктуру за кілька тижнів до того, як уразливості були офіційно оприлюднені, і задокументували використання загального домену C2, wellnesscaremed.com. Дослідження також співвіднесло техніки MITRE ATT&CK, що використовувались протягом всього ланцюга проникнення.

Розслідування

Pawn Storm (APT28) розпочав кампанію, зосереджену на новому наборі зловмисного програмного забезпечення під назвою PRISMEX, яка націлена на український ланцюг постачань оборони, а також на урядові й логістичні організації союзників. Операція використовує дві щойно виявлені вразливості нульового дня, CVE-2026-21509 і CVE-2026-21513, при цьому зловживаючи легітимними хмарними платформами для керування командою та контролем. Інструментарій включає стеганографічні завантажувачі, захоплення COM для стійкості, та завантажувач Covenant Grunt, розміщений на Filen.io. Виявлення залишається складним через безфайлове виконання та зашифрований мережевий трафік.

Емуляція виконання

Попередня умова: Телеметрія та базовий тест передпольотний перевірка повинні пройдено.

Мотиви: Цей розділ детально описує точне виконання техніки противника (TTP), призначеної для активації правила виявлення. Команди та наратив повинні напряму відображати ідентифіковані TTP і мають на меті створити точну телеметрію, очікувану логікою виявлення. Абстрактні або нерелевантні приклади призведуть до неправильної діагностики.

• Наратив атаки та команди:

  1. Зловмисник отримав зловмисний DLL (evil.dll) розміщено в записуваній директорії (наприклад, C:Tempevil.dll).
  2. Щоб досягти стійкості, вони обирають CLSID {68DDBB56-9D1D-4FD9-89C5-C0DA2A625392} (один з GUID, відстежених правилом).
  3. Використовуючи вбудований reg.exe (або PowerShell), вони встановлюють значення за замовчуванням для InProcServer32 підключення до шляху до зловмисного DLL, таким чином захоплюючи будь-яку активацію COM цього CLSID.
  4. Зміни у реєстрі генерують вхід із EventID 13 з точним TargetObject що відповідає правилу виявлення.

• Сценарій регресійного тестування:

  # -------------------------------------------------
  # Емуляція стійкості hijaking COM PrismexSheet
  # -------------------------------------------------
  $guid = '{68DDBB56-9D1D-4FD9-89C5-C0DA2A625392}'
  $dllPath = "C:Tempevil.dll"
  
  # Впевніться, що існує зловмисний DLL (заповнювач для тесту)
  if (-not (Test-Path $dllPath)) {
      New-Item -Path $dllPath -ItemType File -Force | Out-Null
      Set-Content -Path $dllPath -Value "Заповнювач зловмисного навантаження"
  }
  
  $regPath = "HKCU:SoftwareClassesCLSID$guidInProcServer32"
  
  # Створіть ключ, якщо він не існує
  New-Item -Path $regPath -Force | Out-Null
  
  # Встановіть значення за замовчуванням для вказівки на зловмисний DLL
  Set-ItemProperty -Path $regPath -Name '(Default)' -Value $dllPath
  
  Write-Host "Захоплення COM зафіксоване в $regPath -> $dllPath"

• Команди очищення:

  # Видаліть зловмисну реєстрацію COM
  $guid = '{68DDBB56-9D1D-4FD9-89C5-C0DA2A625392}'
  $regPath = "HKCU:SoftwareClassesCLSID$guid"
  Remove-Item -Path $regPath -Recurse -Force
  
  # Видаліть фіктивний DLL
  Remove-Item -Path "C:Tempevil.dll" -Force -ErrorAction SilentlyContinue
  
  Write-Host "Очищення завершено."