UAC-0099 і Sandworm використовують бекдор MythicRatatoskr через Yggdrasil

Резюме

Філіали, пов’язані з групами-вимагачами INC та The Gentlemen, використовують екосистему атак на базі штучного інтелекту для автоматизації розвідки, генерації команд і сортування даних. Оператори використовують спеціальну платформу під назвою Phantom разом з комерційними великими мовними моделями (LLM) для підтримки масштабованих вторгнень. Інфраструктура була викрита після значних помилок в опсеку, що розкрили сервери керування та збережені дані сесій AI.

Розслідування

Розслідування почалося після того, як дослідники виявили відкритий сервер керування за адресою 45.227.254.43, що містив відкриті каталоги з вихідним кодом Phantom і базами даних сесій AI. Аналіз відкритих файлів конфігурації та облікових даних згодом виявив шість додаткових серверів, контрольованих супротивником. Дослідники виявили високопроцесоризований робочий процес, в якому AI виконує більшу частину технічного виконання, тоді як оператори підтримують контроль.

Пом’якшення наслідків

Організації мають пріоритезувати оновлення систем на межі, особливо FortiClient EMS, SimpleHelp та cPanel, щоб закрити найбільш поширені шляхи початкового доступу. Впровадження багатофакторної автентифікації (MFA) для RMM, VPN та платформ віддаленого доступу є важливим для зниження ризику повторного використання облікових даних. Захисникам слід також увімкнути захист від підробки EDR і моніторинг несанкціонованих завершень безпекових сервісів або завантаження відомих уразливих драйверів.

Відповідь

Коли виявлено шкідливу активність, ізолюйте уражені периферійні пристрої та перевірте адміністративні облікові записи в платформах EMS та RMM на наявність несанкціонованих додатків. Перегляньте скрипти підключення VPN на предмет підозрілих змін і негайно замініть скомпрометовані облікові дані. Проведіть ретельний аналіз запланованих завдань та активних зворотних SOCKS тунелів для виявлення та припинення стійких C2 каналів.

Виконання симуляції

• Оповідь атаки і команди: Зловмисник має на меті встановити стійкість на цільовому хості за допомогою бекдора MythicRatatoskr. Для моделювання виявлення атакуючий здійснить три різні дії: 1) Виконання команди, що містить специфічний рядок “MATCHWOK backdoor” для активації варіант1; 2) Здійснити викид шкідливого бінарного на дуже специфічний шлях C:windowssystem32updater.exe для активації варіант2; і 3) Створити нову службу Windows з назвою WindowsDefenderSvc.exe для активації варіант3. Це імітує багатоступеневе розгортання, де початковий доступ приводить до стійкості з високими привілеями.

• Скрипт регресійного тестування:

  # Скрипт симуляції для перевірки виявлення MATCHWOK/MythicRatatoskr
  # УВАГА: Цей скрипт має бути виконаний з правами адміністратора.
  
  Write-Host "[*] Запуск симуляції..." -ForegroundColor Cyan
  
  # 1. Активація Вибір 1: Командний рядок містить 'MATCHWOK backdoor'
  Write-Host "[+] Активація Вибір 1 (Командний рядок)..." -ForegroundColor Yellow
  Start-Process cmd.exe -ArgumentList "/c echo Це симуляція виконання MATCHWOK backdoor" -WindowStyle Hidden
  
  # 2. Активування Вибір 2: Зображення є 'C:windowssystem32updater.exe'
  Write-Host "[+] Активація Вибір 2 (Шлях до файлу)..." -ForegroundColor Yellow
  $targetPath = "C:WindowsSystem32updater.exe"
  if (Test-Path $targetPath) { Remove-Item $targetPath -Force }
  New-Item -Path $targetPath -ItemType File -Force | Out-Null
  Start-Process $targetPath -ArgumentList "/silent" -ErrorAction SilentlyContinue
  
  # 3. Активація Вибір 3: Ім'я служби є 'WindowsDefenderSvc.exe'
  Write-Host "[+] Активація Вибір 3 (Ім'я служби)..." -ForegroundColor Yellow
  $serviceName = "WindowsDefenderSvc.exe"
  # Створення неправдивої служби, яка запускає 'cmd.exe'
  New-Service -Name $serviceName -BinaryPathName "C:WindowsSystem32cmd.exe /c echo persistence" -DisplayName "Служба безпеки Windows Defender" -StartupType Manual
  
  Write-Host "[*] Симуляція завершена." -ForegroundColor Green

• Команди очищення:

  # Скрипт очищення
  Write-Host "[!] Очищення артефактів симуляції..." -ForegroundColor Red
  
  # Видалити службу
  Stop-Service -Name "WindowsDefenderSvc.exe" -ErrorAction SilentlyContinue
  sc.exe delete "WindowsDefenderSvc.exe"
  
  # Видалити шкідливий файл
  Remove-Item "C:WindowsSystem32updater.exe" -Force -ErrorAction SilentlyContinue
  
  Write-Host "[*] Очищення завершено." -ForegroundColor Green