Всередині TAG-150: Еволюція торгівлі з DinDoor, DenoRAT та NightshadeC2

Виконання симуляції

Попередня умова: Перевірка попередньої телеметрії та базових умов повинна бути пройдена.

Обґрунтування: Цей розділ детально описує точне виконання техніки противника (TTP), створеної для активації правила виявлення. Команди і розповідь МАЮТЬ точно відображати виявлені TTP і прагнути генерувати саме ту телеметрію, яку очікує логіка виявлення. Абстрактні або нерелевантні приклади призведуть до неправильного діагнозу.

• Історія атаки та команди: Противник успішно закріпив свою позицію на хості Windows і намагається активувати своє маяк DenoRAT. Щоб уникнути традиційних підписних EDR, зловмисне ПЗ використовує мережеві патерни “Жити від землі”, комунікуючи через стандартний HTTP/S. Шкідливе ПЗ спробує перевірити на C2 сервер, відправивши запити GET до конкретних кінцевих точок /user and /message-event. Ця імітація моделює поведінку маяка, щоб перевірити, що логіка виявлення SOC спрацьовує, коли ці специфічні рядки з’являються у журналах доступу в Інтернет.

• Скрипт для регресійного тестування:

   # Скрипт симуляції маяка DenoRAT C2
    # Цей скрипт моделює специфічні HTTP GET запити, що використовуються DenoRAT для спрацьовування правила виявлення.
  
    $C2_URL = "http://localhost" # Змініть на адресу вашого локального веб-сервера для тестування
    $Endpoints = @("/user", "/message-event")
  
    Write-Host "[+] Запуск симуляції DenoRAT C2..." -ForegroundColor Cyan
  
    foreach ($Endpoint in $Endpoints) {
        $Target = $C2_URL + $Endpoint
        Write-Host "[*] Моделюється перевірка C2: $Target" -ForegroundColor Yellow
        try {
            # Виконання GET запиту
            $Response = Invoke-WebRequest -Uri $Target -Method Get -ErrorAction SilentlyContinue
            Write-Host "[+] Запит відправлено. Код статусу: $($Response.StatusCode)" -ForegroundColor Green
        }
        catch {
            # Ми очікуємо на 404, якщо кінцеві точки насправді не існують, що прийнятно для тестування телеметрії
            Write-Host "[!] Запит відправлено (Очікуваний 404/Помилка з'єднання): $_" -ForegroundColor Gray
        }
        Start-Sleep -Seconds 2
    }
  
    Write-Host "[+] Симуляція завершена." -ForegroundColor Cyan

• Команди очищення:

   # Ніякі постійні зміни не вносяться симуляційним скриптом.
    # Щоб очистити журнали веб-сервера, якщо необхідно (Обережно: Це видаляє журнали!):
    # Remove-Item -Path "C:inetpublogsLogFilesW3SVC1*.log" -Force
    Write-Host "[+] Очищення: Постійні артефакти не були створені." -ForegroundColor Green