PulseRAT доставлений через приманку партнерства ОАЕ-Індія

SOC Prime Team

Стежити

PulseRAT доставлений через приманку партнерства ОАЕ-Індія

Detection stack

AIDR
Alert
ETL
Query

Звіт про загрози
Потік атаки
Виявлення
Симуляції

Резюме

Шкідливий ISO-архів, замаскований під файл стратегічного партнерства ОАЕ-Індія, використовується для доставки трояна віддаленого доступу на основі .NET, відомого як PulseRAT. Шкідливе програмне забезпечення встановлюється через дроппер, вбудований в ISO, і використовує Google Таблиці як канал управління та контролю. Для збереження доступу, він створює заплановане завдання під назвою WindowsVaultSyncService, створює каталог для сховища під %LOCALAPPDATA%, і використовує мутаекс, щоб запобігти багаторазовим виконанням на тому ж хості. Кампанія базується на фіктивній інформації, пов’язаній з високопрофільними оборонними відносинами між Об’єднаними Арабськими Еміратами та Індією.

Розслідування

Аналітик розпакував ISO файл, ідентифікував LNK шорткат, відповідальний за запуск виконуваного файлу, і зворотно інженерив дроппер, щоб виявити його корисне навантаження та логіку збереження. Подальший аналіз PulseRAT показав, як він використовує Google Sheets для командування та контролю, генерує свій мутаекс, виконує PowerShell у пам’яті процесу та створює своє заплановане завдання для збереження. Імена файлів, шляхи файлової системи, шаблони мутаексів та ідентифікатор таблиці були задокументовані для підтримки інженерії виявлення.

Пом’якшення

Організаціям слід блокувати виконання невідомих бінарних файлів, запущених з зовнішніх або змонтованих носіїв, та моніторити створення запланованих завдань названих WindowsVaultSyncService. Необхідно запровадити контроль додатків для бінарних файлів, що виконуються з %LOCALAPPDATA%MicrosoftVault, і захисники повинні перевіряти трафік API Google Sheets на доступ до несанкціонованих облікових записів або несподівану активність у таблиці. Будь-яке шкідливе заплановане завдання слід видалити, а файл vaultsvc.exe має бути видалено з уражених систем.

Реагування

Якщо активність PulseRAT виявлена, негайно ізолюйте уражену кінцеву точку, зберіть вольатильну пам’ять і образи диска, та шукайте задокументовані індикатори компрометації. Вимкніть та видаліть шкідливе заплановане завдання, видаліть каталог сховища та скиньте будь-які скомпрометовані сервісні облікові записи, пов’язані з Google. Також повинен бути проведений повний судово-медичний огляд для виявлення можливої латеральної переміщення, та інформовані зацікавлені сторони в ОАЕ та Індії.

"graph TB %% Class definitions classDef action fill:#99ccff,stroke:#333,stroke-width:2px classDef tool fill:#dddddd,stroke:#333,stroke-width:2px classDef process fill:#ffeb99,stroke:#333,stroke-width:2px %% Nodes step_user_open["Action – T1204.002 User Execution: Malicious File Description: Victim opens a malicious shortcut (LNK) file. Subu2011technique T1547.009 Shortcut Modification Description: Shortcut placed to achieve persistence."] class step_user_open action step_dropper["Action – T1027.009 Obfuscated/Stored Files: Embedded Payloads Description: Dropper extracts hidden payload. Technique T1105 Ingress Tool Transfer Description: Transfers payload to the victim system."] class step_dropper action step_persistence["Action – T1053 Scheduled Task/Job Description: Creates a scheduled task for persistence. Technique T1070.004 File Deletion Description: Dropper selfu2011deletes after installing."] class step_persistence action step_execution["Action – T1055.013 Process Injection: Process Hollowing Description: Executes PowerShell inu2011process to run malicious code. Technique T1602 Gather Victim Identity Information Description: Collects system information (systeminfo)."] class step_execution action step_uid["Action – T1589 Gather Victim Identity Information Description: Generates a unique victim identifier (UID)."] class step_uid action step_c2["Action – T1102.001 Web Services: Dead Drop Resolver Description: Uses Google Sheets as a commandu2011andu2011control channel. Technique T1102.002 Web Services: Exfiltration Over Web Services Description: Communicates with remote Google Sheets API."] class step_c2 action step_rat["Action – T1219 Remote Access Tools Description: Provides remote interactive access to the compromised host."] class step_rat action step_cleanup["Action – T1070.009 Clear Windows Event Logs Description: Removes artifacts and cleans up persistence mechanisms."] class step_cleanup action %% Connections step_user_open –>|leads_to| step_dropper step_dropper –>|creates| step_persistence step_persistence –>|enables| step_execution step_execution –>|produces| step_uid step_uid –>|used_by| step_c2 step_c2 –>|enables| step_rat step_rat –>|triggers| step_cleanup "

Потік атаки

Переглянути

Виконання симуляції

Передумова: Перевірка телеметрії та базової лінії повинна пройти.

Опис атаки та команди:
Зловмисник скомпрометував користувацький обліковий запис та розмістив на хості шкідливий DLL «PulseRAT». PulseRAT завантажується у легітимний процес (наприклад, explorer.exe) та створює PowerShell runspace (виконання в процесі), щоб уникнути створення видимого powershell.exe. Після цього він витягує base64-закодоване корисне навантаження PowerShell з контрольованої зловмисником Google Sheets, декодує його та виконує всередині runspace. Це генерує один запис EventID 4104, який містить як маркерний рядок «System.Management.Automation.Runspaces» (від створення runspace), так і слово «base64» (від декодованого корисного навантаження), задовольняючи правило Sigma.

Режим тестування регресії:

# Імітація виконання PowerShell PulseRAT у процесі (симуляція)
# ---------------------------------------------------------
# 1. Створіть runspace PowerShell (в процесі)
$runspace = [runspacefactory]::CreateRunspace()
$runspace.Open()

# 2. Створіть base64-закодоване корисне навантаження (імітація контрольованих даних зловмисника)
$payload = 'Write-Host "Скомпрометовано PulseRAT"'   # Просте навантаження
$bytes   = [System.Text.Encoding]::Unicode.GetBytes($payload)
$b64     = [Convert]::ToBase64String($bytes)

# 3. Збудуйте скриптовий блок, який декодує та запускає навантаження
$script = @"
`$b64 = '$b64'
`$decoded = [System.Text.Encoding]::Unicode.GetString([Convert]::FromBase64String(`$b64))
Invoke-Expression `$decoded
"@

# 4. Створіть конвеєр PowerShell всередині runspace та виконайте його
$powershell = [powershell]::Create()
$powershell.Runspace = $runspace
$null = $powershell.AddScript($script).Invoke()
$powershell.Dispose()
$runspace.Close()

Команди очищення:

# Видалення runspace та звільнення ресурсів (якщо залишились)
if ($runspace -and $runspace.RunspaceStateInfo.State -ne 'Closed') {
    $runspace.Close()
}
Remove-Variable -Name runspace -ErrorAction SilentlyContinue
Remove-Variable -Name powershell -ErrorAction SilentlyContinue

Приєднуйтесь до платформи Detection as Code від SOC Prime щоб покращити видимість загроз, найбільш актуальних для вашого бізнесу. Щоб допомогти вам розпочати та отримати негайну цінність, забронюйте зустріч зараз з експертами SOC Prime.

Приєднатися безкоштовно