Водяна Панда (Земля Луска): Кампанії, Шкідливе ПЗ та TTP

Резюме

Aquatic Panda є групою APT, що діє в інтересах Китаю, і зосереджена на зборі розвідданих та промисловому шпигунстві. Група використовує різноманітний арсенал шкідливого ПЗ, включаючи SprySOCKS, ShadowPad та BIOPASS RAT, щоб атакувати критичні галузі. Її операції також включають експлуатацію вразливостей, таких як Log4Shell, та використання передових руткітів для збереження прихованості.

Розслідування

Звіт окреслює численні кампанії, включаючи Operation FishMedley та атаки із залученням серверів VMware Horizon. Він вивчає технічний дизайн бекдора SprySOCKS, включаючи функціональність руткіта у режимі ядра та функції стійкості. Аналіз також деталізує конкретні TTP групи для початкового доступу, виконання та уникання захисту.

Профілактика

Організації повинні перевірити свою захищеність від відомих методів групи Aquatic Panda за допомогою платформ симуляції та тестування. Ключові заходи профілактики включають оновлення вразливостей Log4j, таких як CVE-2021-44228 та моніторинг несанкціонованих запланованих завдань або підозрілих змін у службах Windows. Сильне виявлення на кінцевих точках також є важливим для ідентифікації завантаження DLL та активації процесів.

Реагування

Якщо виявлено діяльність Aquatic Panda, реагуючим особам слід негайно ізолювати уражені системи, щоб зупинити бічне переміщення. Розслідування повинні зосереджуватися на несанкціонованих змінах в реєстрі, особливо в налаштуваннях Print Processors або IFEO. Форензичний аналіз має пріоритетизувати збір пам’яті з підозрілих процесів та перевірку запланованих завдань і служб Windows.

## Виконання симуляції

Передумова: Перевірка телеметрії та базового рівня перед польотом повинна пройти.

Обґрунтування: Цей розділ деталізує точне виконання техніки супротивника (TTP), призначеної для запуску правила виявлення. Команди і наратив МАЮТЬ безпосередньо відображати ідентифіковані TTP і прагнути генерувати точну телеметрію, яку очікує логіка виявлення. Абстрактні або непов’язані приклади призведуть до неправильної діагностики.

• Атака: наратив і команди: Супротивник має намір виконати hollowing процесу, щоб приховати шкідливий код у легітимному контейнері процесу. Для перевірки, чи спрацьовує поточне (хоча і недосконале) виявлення, супротивник запустить powershell.exe з конкретного каталогу. Це імітує початковий етап атаки Living-off-the-Land (LotL), де супротивник використовує стандартний системний інструмент, щоб розпочати свою шкідливу діяльність, таку як ін’єкція в пам’ять або забирання облікових даних. Мета – згенерувати Створення процесу подію, де Зображення поле містить зворотний слеш, як визначено в логіці виявлення.

• Скрипт тесту регресії:

   # Імітація запуску процесу, який задовольняє (слабку) логіку виявлення
    # Це імітує початок сесії супротивника, використовуючи стандартний інструмент
    $targetProcess = "C:WindowsSystem32WindowsPowerShellv1.0powershell.exe"
    Write-Host "Виконання: $targetProcess"
    Start-Process -FilePath $targetProcess -ArgumentList "-NoProfile -ExecutionPolicy Bypass -Command Write-Host 'Симуляція активна'"

• Команди очищення:

   # Постійні зміни не внесено; очищення для цієї симуляції не потребується.
    Write-Host "Очищення симуляції завершено."