Від W-2 до BYOVD: Як пошук податків веде до знищення AV/EDR у режимі ядра

Резюме

Широка операція з рекламного зловмисного програмного забезпечення зловживає рекламою Google, пов’язаною з пошуками податкових форм, щоб поширювати підроблений інсталятор ScreenConnect. Цей інсталятор розгортає мультиетапний криптер, який потім завантажує утиліту BYOVD під назвою HwAudKiller. Інструмент встановлює підписаний аудіо-драйвер Huawei та використовує доступ на рівні ядра для завершення процесів AV та EDR. Після вимкнення засобів безпеки, зловмисники викачують облікові дані LSASS та збирають облікові дані по мережі за допомогою NetExec. Діяльність підкреслює, як доставка звичайного зловмисного програмного забезпечення може поєднуватися з власним драйвером ядра для отримання прихованого доступу, придушення активних засобів захисту та підтримки стійкості.

Дослідження

Дослідники Huntress відслідковували шлях перенаправлення від anukitax.com to bringetax.com і підтвердили доставку підробленого пакету MSI ScreenConnect. Запущений crypteds.exe використовує трюк виділення пам’яті в 2 ГБ для ухиляння та запускає shellcode непрямо через timeSetEvent перед завантаженням HwAudKiller. Цей завантажувач записує Havoc.sys до %TEMP% та реєструє сервіс ядра під назвою Havoc для завершення жорсткозакодованого списку процесів безпеки. Під час другої інфільтрації зловмисники отримали доступ за допомогою компроміту VPN, повторно використали той самий драйвер, розширили список вбитих процесів, включивши процеси FortiEDR, викачали LSASS, використовуючи comsvcs.dll, та перемістилися в бічному напрямку за допомогою NetExec.

Зменшення

Організації повинні блокувати або жорстко біло-спискувати реальні розгортання ScreenConnect та стежити за незнайомими іменами релейних хостів версій пробних екземплярів. Команди безпеки повинні стежити за драйверами ядра, запущеними з тимчасових шляхів, і повідомляти про події Sysmon ID 6 та активності установки Windows служби. Суворі контролі виконання повинні бути запроваджені для файлів, записаних у C:WindowsSystemTempScreenConnect і %TEMP%. Зусилля з підвищення обізнаності користувачів також повинні зміцнювати, що результати пошуку Google Ads не повинні вважатися надійними джерелами для завантаження податкового програмного забезпечення.

Реакція

Якщо виявлено підозрілий інсталятор ScreenConnect, негайно ізолюйте кінцеву точку, зберіть crypteds.exe та будь-який скинутий драйвер Havoc.sys і зупиніть сервіс Havoc. Почніть процедури скидання облікових даних для ймовірно скомпрометованих облікових записів і вилучіть відкритий доступ. Потім проскануйте ширше середовище для додаткових релейних з’єднань ScreenConnect, виконання NetExec і ознак викачки LSASS. Нарешті, документуйте та діліться знайденими IOC з внутрішніми та зовнішніми каналами розвідки про загрози.

Виконання симуляції

Передумова: Перевірка телеметрії і базова перевірка перед польотом повинна була бути пройдена.

Обґрунтування: В цьому розділі детально описується точне виконання техніки противника (TTP), розробленої для спрацьовування правила виявлення. Команди та наратив ПОВИННІ безпосередньо відповідати виявленим TTP та мають на меті згенерувати точну телеметрію, очікувану логікою виявлення.

• Опис атаки та команди:

  1. Початковий доступ через зловмисну рекламу: Жертва натискає на зловмисну рекламу під час пошуку податкових форм, що викликає завантаження на вимогу form_w9.msi.
  2. Встановлення підробленого програмного забезпечення: MSI безшумно встановлює інструмент віддаленої підтримки, схожий на ScreenConnect, і скидає crypteds.exe and sent.exe до %TEMP% каталогу.
  3. Збирання облікових даних: crypteds.exe запускається для викачування секретів LSA.
  4. Завантаження DLL через Rundll32: Щоб уникнути статичного виявлення, зловмисник завантажує шкідливу DLL, використовуючи rundll32.exe з системною DLL comsvcs.dll як точку входу, яка виконає вбудоване завантаження.

  Точні команди (імітуються на тестовій машині) наступні:

  # 1. Розгортання шкідливої MSI (імітація)
  Start-Process -FilePath "C:Tempform_w9.msi" -ArgumentList "/quiet" -Wait
  
  # 2. Запуск інструменту для викачування облікових даних
  Start-Process -FilePath "$env:TEMPcrypteds.exe" -ArgumentList "/dump" -Wait
  
  # 3. Завантаження шкідливого завантаження через rundll32, використовуючи comsvcs.dll
  rundll32.exe "C:windowsSystem32comsvcs.dll",LaunchApplication "$env:TEMPsent.exe"

• Скрипт для тестування на регресії: Скрипт нижче автоматизує вищевказані кроки і забезпечує, щоб згенерована телеметрія відповідала очікуванням правила виявлення.

  # Скрипт тестування на регресію – імітує кампанію зловмисного реклами
  # -----------------------------------------------------------
  # 0. Передумова: Переконайтесь, що Sysmon запущений із увімкненим журналюванням командного рядка.
  
  # Змінні
  $msiPath   = "$env:TEMPform_w9.msi"
  $dumpTool  = "$env:TEMPcrypteds.exe"
  $payload   = "$env:TEMPsent.exe"
  $dllPath   = "C:windowsSystem32comsvcs.dll"
  
  # Помічник: Створення фіктивних файлів для імітації шкідливих бінарів
  New-Item -Path $msiPath   -ItemType File -Force | Out-Null
  New-Item -Path $dumpTool  -ItemType File -Force | Out-Null
  New-Item -Path $payload   -ItemType File -Force | Out-Null
  
  Write-Host "[*] Встановлення шкідливої MSI (імітація)..."
  Start-Process -FilePath "msiexec.exe" -ArgumentList "/i `"$msiPath`" /quiet" -Wait
  
  Write-Host "[*] Виконання інструменту для викачування облікових даних..."
  Start-Process -FilePath $dumpTool -ArgumentList "/dump" -Wait
  
  Write-Host "[*] Проведення завантаження DLL через rundll32..."
  rundll32.exe "`"$dllPath`"",LaunchApplication "`"$payload`""
  
  Write-Host "[+] Імітація завершена. Перевірте виявлення через SIEM."

• Команди очищення: Видаліть фіктивні артефакти та зупиніть будь-які застоячі процеси.

  # Скрипт для очищення
  $paths = @("$env:TEMPform_w9.msi","$env:TEMPcrypteds.exe","$env:TEMPsent.exe")
  foreach ($p in $paths) {
      if (Test-Path $p) { Remove-Item -Path $p -Force }
  }
  
  # Завершення будь-яких сторонніх процесів rundll32, запущених під час тесту
  Get-Process -Name rundll32 -ErrorAction SilentlyContinue |
      Where-Object {$_.Path -eq "$env:SystemRootSystem32rundll32.exe"} |
      Stop-Process -Force