Привид у сховищі: Obsidian використовується для доставки PhantomPulse RAT

SOC Prime Team

Стежити

Привид у сховищі: Obsidian використовується для доставки PhantomPulse RAT

Detection stack

AIDR
Alert
ETL
Query

Звіт про загрози
Потік атаки
Виявлення
Симуляції

Короткий зміст

Elastic Security Labs виявили нову кампанію соціальної інженерії, яка зловживає платформою Obsidian для ведення нотаток та екосистемою плагінів спільноти для доставки PhantomPulse, раніше не задокументованого RAT, що націлюється на системи Windows та macOS. Операція, здається, спрямована на осіб у фінансовій та криптовалютній сферах, з використанням LinkedIn і Telegram для розповсюдження скомпрометованого сховища Obsidian як початкової приманки. На Windows ланцюг інфекції спирається на PowerShell, спеціальний завантажувач у пам’яті під назвою PhantomPull і техніки відбивного завантаження. На macOS зловмисники використовують AppleScript разом з механізмом команд та контролю на основі Telegram. Кампанія також включає виявлення C2 на базі блокчейну через дані транзакцій Ethereum.

Розслідування

Дослідники відтворили атаку, створивши бойове сховище Obsidian, яке використовувало плагіни Shell Commands та Hider для запуску зловмисного виконання. Під час аналізу вони спостерігали скрипти PowerShell, які завантажували завантажувач під назвою syncobs.exe з 195.3.222.251, який потім отримував зашифрований корисний вантаж і завантажував його відбивно у пам’ять. Завантажувач створював мютекс, спілкувався з панеллю управління, розміщеною на panel.fefea22134.net, і підтримував резервну інфраструктуру, отриману з даних блокчейну. На macOS зловмисне програмне забезпечення встановлювало стійкість через plist агентів запуску та завантажувало вторинний корисний вантаж AppleScript з жорсткокодовного домену та каналу Telegram. Слідчі відновили ключові артефакти з файлів конфігурації JSON та ресурсів у пам’яті, пов’язаних з обома шляхами інфекції.

Пом’якшення

Організації повинні заборонити Obsidian створювати несанкціоновані дочірні процеси, застосовувати суворий контроль за використанням плагінів спільноти та моніторити активність PowerShell, де Obsidian з’являється як головний процес. Засоби захисту мережі повинні блокувати вихідний трафік на 195.3.222.251 та домени panel.fefea22134.net, 0x666.info, і відомі Telegram місця для збереження, пов’язані з кампанією. Команди безпеки також повинні шукати ознаки відбивного завантаження, зловживання таймерним чергою зворотного виклику та специфічне значення мютекса, що використовується завантажувачем зловмисного програмного забезпечення.

Відповідь

Якщо виявлено підозрілі дочірні процеси з Obsidian, негайно ізолюйте уражений вузол і зберіть .obsidian каталог для судової перевірки наявних плагінів і вмісту сховища. Полюйте на мютекс hVNBUORXNiFLhYYh, потім скануйте кінцеві точки на наявність слідів завантажувача PHANTOMPULL та двійкових файлів PHANTOMPULSE RAT. Блокуйте виявлену командну та контрольну інфраструктуру, відкликайте будь-які скомпрометовані облікові дані, пов’язані з Obsidian, і проведіть більш широкий огляд на наявність викрадення облікових даних, які впливають на фінансові та криптовалютні рахунки.

graph TB %% Class definitions classDef technique fill:#99ccff classDef tool fill:#ffcc99 classDef malware fill:#ff9999 classDef process fill:#ccffcc %% Technique nodes tech_valid_accounts[“Техніка – T1078 Дійсні облікові записи Опис: Зловмисники використовують скомпрометовані облікові дані. Деталі: облікові дані Obsidian передані жертві”] class tech_valid_accounts technique tech_user_execution[“Техніка – T1204 Виконання користувачем Опис: користувача змушують виконати шкідливий код. Деталі: відкриття shared vault та синхронізація плагінів”] class tech_user_execution technique tech_powershell_initial[“Техніка – T1059.001 PowerShell Опис: виконання команд PowerShell. Деталі: Base64 завантажує script1.ps1”] class tech_powershell_initial technique tech_bits_transfer[“Техніка – T1105 Передача інструментів Опис: передача payload на заражену систему. Деталі: завантаження syncobs.exe”] class tech_bits_transfer technique tech_reflective_loading[“Техніка – T1620 Рефлективне завантаження Опис: завантаження в пам’ять без диска. Деталі: AES-256-CBC дешифрування”] class tech_reflective_loading technique tech_process_injection[“Техніка – T1055.002 Ін’єкція PE Опис: ін’єкція коду в процес. Деталі: module stomping”] class tech_process_injection technique tech_dynamic_resolution[“Техніка – T1568 Динамічне визначення Опис: визначення C2 через blockchain. Деталі: транзакція blockchain”] class tech_dynamic_resolution technique tech_powershell_c2[“Техніка – T1059.001 PowerShell Опис: C2 комунікація та beacon”] class tech_powershell_c2 technique tech_applescript[“Техніка – T1059.007 AppleScript Опис: виконання на macOS Деталі: через osascript”] class tech_applescript technique tech_launch_agent[“Техніка – T1543.001 Launch Agent Опис: persistence через LaunchAgent Деталі: plist встановлено”] class tech_launch_agent technique tech_dead_drop_resolver[“Техніка – T1102.001 Dead Drop Resolver Опис: C2 через web сервіс Деталі: Telegram як резервний C2”] class tech_dead_drop_resolver technique %% Tool / Malware nodes tool_syncobs_exe[“Інструмент – Назва: syncobs.exe Опис: бінарний файл 2-ї стадії”] class tool_syncobs_exe tool malware_phantompull[“Шкідливе ПЗ – Назва: PHANTOMPULL Опис: loader для AES-256-CBC payload”] class malware_phantompull malware %% Flow connections tech_valid_accounts –>|leads_to| tech_user_execution tech_user_execution –>|leads_to| tech_powershell_initial tech_powershell_initial –>|executes| tech_bits_transfer tech_bits_transfer –>|downloads| tool_syncobs_exe tool_syncobs_exe –>|enables| tech_reflective_loading tech_reflective_loading –>|loads| malware_phantompull malware_phantompull –>|facilitates| tech_process_injection tech_process_injection –>|injects| tool_syncobs_exe tech_process_injection –>|enables| tech_dynamic_resolution tech_dynamic_resolution –>|resolves| tech_powershell_c2 tech_dynamic_resolution –>|resolves| tech_applescript tech_powershell_c2 –>|beacons| tech_dead_drop_resolver tech_applescript –>|creates| tech_launch_agent tech_launch_agent –>|persists| tech_dead_drop_resolver

Потік атаки

Опис атаки та команди:
1. Початкова компрометація: Зловмисник заносить зловмисний плагін Obsidian (evil-plugin.js) у директорію плагінів користувача Obsidian.
2. Тригер виконання: Коли Obsidian запускається, плагін виконує один PowerShell‑рядок, який запускає notepad.exe via Start-Process. Це створює точний ланцюг процесів Obsidian.exe → notepad.exe , який відслідковує правило.
3. Стійкість: Плагін налаштований на автоматичне завантаження при кожному запуску Obsidian, забезпечуючи повторне виникнення зловмисного дочірнього процесу.
4. Ухилення: Плагін також короткочасно виконує rundll32.exe (T1216.002) для завантаження безпечної DLL, приховуючи істинний намір, водночас зберігаючи ланцюг процесів, що тригерить виявлення.

Скрипт регресійного тесту:

# -------------------------------------------------
# Симуляція зловмисного плагіна Obsidian (PowerShell)
# -------------------------------------------------
# 1. Переконайтеся, що Obsidian встановлено в очікуваний шлях
$obsidianPath = "C:Program FilesObsidianObsidian.exe"
if (-Not (Test-Path $obsidianPath)) {
    Write-Error "Obsidian не знайдено за $obsidianPath"
    exit 1
}

# 2. Запускайте Obsidian *як батьківський* і негайно запускайте Notepad
$startInfo = New-Object System.Diagnostics.ProcessStartInfo
$startInfo.FileName = $obsidianPath
$startInfo.Arguments = "-c `"Start-Process notepad.exe`""
$startInfo.UseShellExecute = $false
$startInfo.CreateNoWindow = $true

$proc = [System.Diagnostics.Process]::Start($startInfo)

# 3. Необов'язково: викликати підписаний двійковий файл (rundll32), щоб симулювати T1216.002
Start-Process -FilePath "C:WindowsSystem32rundll32.exe" -ArgumentList "shell32.dll,Control_RunDLL" -WindowStyle Hidden

# 4. Залишайте скрипт активним ненадовго, щоб дозволити виведення логів
Start-Sleep -Seconds 5
# -------------------------------------------------

Команди очищення:

# Завершити всі безхазяйні інстанції Obsidian або Notepad, створені під час тесту
Get-Process -Name "Obsidian","notepad","rundll32" -ErrorAction SilentlyContinue | Stop-Process -Force

# Видалити файл симульованого зловмисного плагіна (якщо він існував)
$pluginPath = "$env:APPDATAObsidianpluginsevil-plugin.js"
if (Test-Path $pluginPath) { Remove-Item $pluginPath -Force }

Write-Host "Очищення завершено."

Приєднуйтесь до платформи Detection as Code від SOC Prime щоб покращити видимість загроз, найбільш актуальних для вашого бізнесу. Щоб допомогти вам розпочати та отримати негайну цінність, забронюйте зустріч зараз з експертами SOC Prime.

Приєднатися безкоштовно