Ланцюг інфікування Qilin EDR Killer

Ruslan Mikhalov Керівник досліджень загроз у SOC Prime

Стежити

Detection stack

AIDR
Alert
ETL
Query

Звіт про загрози
Потік атаки
Виявлення
Симуляції

Резюме

Звіт охоплює багатоступеневий завантажувач, доставлений як троянізована бібліотека msimg32.dll, що може вимикати або видаляти понад 300 продуктів захисту та реакції на кінцевих точках. Завантажувач поєднує в собі складні методи зловживання SEH/VEH, техніки ядра-драйвера і апаратні точки зупинки для уникнення хуків у режимі користувача і знищення процесів безпеки. Діяльність пов’язана з екосистемою програм-вимагачів Qilin і поставляється з власним драйвером, похідним від інструменту ThrottleStop. Кінцевим результатом є спеціалізований EDR-знищувач, який завершує сервіси безпеки і може знову забезпечити контроль зловмисника, відновлюючи або нейтралізуючи логіку зворотного виклику цілісності коду.

Розслідування

Дослідники реверс-інжинували шкідливу DLL, її PE завантажувач і два допоміжні драйвери, rwdrv.sys і hlpdrv.sys. Аналіз детально описує, як завантажувач створює таблицю політики системних викликів, втручається у диспетчер винятків і використовує IAT-хукінг для перенаправлення виконання. Потім він використовує векторизовану обробку винятків для підготовки та запуску завантаження на основі shell32. Шар драйвера надає доступ до необробленої фізичної пам’яті і використовується для видалення або відключення зворотних викликів ядра, пов’язаних з EDR, а також для завершення захищених процесів через інтерфейс IOCTL.

Захист

Використовуйте багаторівневий захист і не покладайтеся на єдиний контроль EDR. Моніторьте аномальну активність завантаження драйверів, підозріле використання IOCTL фізичної пам’яті і несподівані зміни в структурах зворотного виклику ядра. Запобігайте бічному завантаженню DLL, коли зловмисники заміщують законні системні бібліотеки, і забезпечте покриття для уникнення в стилі апаратних точок зупинки. Підтримуйте актуальність сигнатур мережі і кінцевих точок, включаючи правила з таких інструментів, як ClamAV і Snort.

Відповідь

Якщо виявлено, ізолюйте кінцеву точку, зупиніть шкідливий процес і вивантажте всі підозрілі драйвери. Захопіть повні знімки пам’яті для судової експертизи, перевірте явно наявність rwdrv.sys і hlpdrv.sys і перевірте цілісність зворотних викликів ядра та відповідної телеметрії безпеки. Розгорніть оновлені засоби виявлення для імені файлу msimg32.dll, подій завантаження драйвера і патерну IOCTL 0x2222008. Завершіть огляд цілісності системи і відновіть з відомо добрих резервних копій, якщо довіра до хосту не може бути відновлена.

"graph TB %% Class definitions classDef technique fill:#ffcc99 %% Node definitions tech_initial_appinit["Техніка – T1546.010 DLLs AppInit: Бокове завантаження шкідливої msimg32.dll Опис: Використовуйте значення реєстру AppInit_DLLs, щоб викликати завантаження шкідливої DLL у кожен процес у режимі користувача, який завантажує User32.dll."] class tech_initial_appinit technique tech_obfuscation["Техніка – T1027 Обфусковані файли або інформація: Зашифрований корисний навантажувач з трюками SEH/VEH Опис: Зашифруйте чи іншим чином сховайте шкідливий код і використовуйте трюки структуованої обробки винятків або векторизованої обробки винятків, щоб уникнути статичного аналізу."] class tech_obfuscation technique tech_dll_injection["Техніка – T1055.001 DLL Ін’єкція: Ін’єкція по IAT хукінгу ExitProcess Опис: Ін’єктуйте шкідливу DLL у цільовий процес і змініть його імпортну таблицю адрес, щоб перехопити виклики ExitProcess."] class tech_dll_injection technique tech_hijack_flow["Техніка – T1574 Викрадення потоку виконання: Обробники VEH/SEH та апаратні точки зупинки Опис: Замініть або додайте обробники винятків і встановіть апаратні точки зупинки, щоб перенаправити виконання до шкідливого коду."] class tech_hijack_flow technique tech_reflective_load["Техніка – T1620 Відображене завантаження коду: Дешифрування та виконання PE в пам’яті Опис: Дешифроване виконуване в пам’яті і його виконання без запису на диск."] class tech_reflective_load technique tech_elev_control["Техніка – T1548 Зловживання механізмом контролю підвищення привілеїв: Завантаження драйвера rwdrv.sys для R/W фізичної пам’яті Опис: Встановіть підписаний або вразливий драйвер, щоб отримати доступ для читання/запису до фізичної пам’яті."] class tech_elev_control technique tech_priv_esc["Техніка – T1068 Експлуатація для підвищення привілеїв: Маніпуляція об’єктами ядра і відключення зворотних викликів EDR Опис: Використовуйте завантажений драйвер для зміни структур ядра і нейтралізації хуків захисту та реагування на кінцевій точці."] class tech_priv_esc technique tech_persistence_appinit["Техніка – T1546.010 AppInit DLLs (Стійкість): Підтримка вимкненого стану EDR Опис: Зберігайте шкідливу DLL зареєстровану через AppInit_DLLs, щоб залишатися під час перезавантажень, поки EDR залишається вимкненим."] class tech_persistence_appinit technique tech_sandbox_evasion["Техніка – T1497.002 Віртуалізація/Ухилення від пісочниці: Перевірка локалі та виявлення точок зупинки Опис: Виявляйте середовища аналізу шляхом перевірки локальних налаштувань системи та перевірки точок зупинки відлагоджувача."] class tech_sandbox_evasion technique %% Зв’язки, що показують потік атаки tech_initial_appinit –>|веде до| tech_obfuscation tech_obfuscation –>|веде до| tech_dll_injection tech_dll_injection –>|веде до| tech_hijack_flow tech_hijack_flow –>|веде до| tech_reflective_load tech_reflective_load –>|веде до| tech_elev_control tech_elev_control –>|веде до| tech_priv_esc tech_priv_esc –>|веде до| tech_persistence_appinit tech_persistence_appinit –>|веде до| tech_sandbox_evasion "

Потік атаки

Опис атаки та команди:

Зловмисник створює мінімальний нативний C двійковий файл, який явним чином завантажує ntdll.dll та викликає NtTraceEvent через його експортовану назву. Двійковий файл компілюється на цільовому хості за допомогою Visual C++ Build Tools, а потім запускається. Оскільки виклик здійснюється через звичайну поверхню API Windows, подія створення процесу записує зображення (ntdll.dll) та поле CallTrace містить рядок “NtTraceEvent”, що задовольняє умову Sigma. Зловмисник потім видаляє двійковий файл, щоб зменшити судові артефакти.

Сценарій регресійного тестування:

# ---------------------------------------------------------
# Крок 1 – Створіть тимчасовий C код, що викликає NtTraceEvent
# ---------------------------------------------------------
$src = @"
#include <windows.h>
typedef NTSTATUS (NTAPI *pNtTraceEvent)(HANDLE, ULONG, PVOID, ULONG);
int main() {
    HMODULE hNtdll = LoadLibraryA("ntdll.dll");
    if (!hNtdll) return 1;
    pNtTraceEvent NtTraceEvent = (pNtTraceEvent)GetProcAddress(hNtdll, "NtTraceEvent");
    if (!NtTraceEvent) return 1;
    // Мінімальний виклик – аргументи в основному ігноруються для цього демо
    NtTraceEvent(NULL, 0, NULL, 0);
    return 0;
}
"@
$tmpPath = "$env:TEMPNtTraceDemo.c"
$exePath = "$env:TEMPNtTraceDemo.exe"
$src | Set-Content -Path $tmpPath -Encoding ASCII

# ---------------------------------------------------------
# Крок 2 – Компіляція за допомогою cl.exe (вважається, що встановлено Visual C++ Build Tools)
# ---------------------------------------------------------
$vcVars = "$env:ProgramFiles(x86)Microsoft Visual Studio2019BuildToolsVCAuxiliaryBuildvcvars64.bat"
if (Test-Path $vcVars) {
    & cmd /c "`"$vcVars`" && cl /nologo /O2 /Fe:`"$exePath`" `"$tmpPath`""
} else {
    Write-Error "Visual C++ Build Tools не знайдено. Встановіть їх перед запуском цього сценарію."
    exit 1
}

# ---------------------------------------------------------
# Крок 3 – Виконання двійкового файлу (це повинно активувати правило)
# ---------------------------------------------------------
& $exePath

# ---------------------------------------------------------
# Крок 4 – очистити артефакти
# ---------------------------------------------------------
Remove-Item -Force $tmpPath, $exePath

Команди очищення:

# Переконайтеся, що всі залишкові файли видалено (виконувати як адміністратор)
Get-ChildItem "$env:TEMPNtTraceDemo.*" -ErrorAction SilentlyContinue | Remove-Item -Force

Приєднуйтесь до платформи Detection as Code від SOC Prime щоб покращити видимість загроз, найбільш актуальних для вашого бізнесу. Щоб допомогти вам розпочати та отримати негайну цінність, забронюйте зустріч зараз з експертами SOC Prime.

Приєднатися безкоштовно