Безкоштовне програмне забезпечення для конвертації – Перетворення будь-якої системи з чистої на інфіковану за секунди

Резюме

Кампанії з шкідливою рекламою на легітимних сайтах просувають фальшиві «конвертори», які виглядають безпечно, але встановлюють у фоновому режимі стійке шкідливе програмне забезпечення для віддаленого доступу. Після виконання, інсталятор зазвичай розміщує компоненти бекдора у %LocalAppData% та створює заплановані завдання, які безперервно запускають шкідливе завантаження, забезпечуючи зловмиснику доступ після перезавантаження системи. Операція базується на ротаційному наборі доменів-дублікатів, підписаних (але шкідливих) бінарних файлів та простому робочому процесі командування та управління на базі HTTP. Захисники можуть звернути увагу на виявлення аномальних запланованих завдань, підозрілого виконання з шляхів, доступних для запису користувачем, та вихідного трафіку на виявлену інфраструктуру C2.

Розслідування

Дослідники відтворили шлях інфікування від шкідливої реклами на Google до сторінок посадки, розміщених на підроблених доменах, таких як pokemoninfinitefusion.net, convertyfileapp.com та conmateapp.com, які зрештою доставляють фінальні завантаження. Доставлені бінарні файли є виконуваними файлами .NET, підписаними вкраденими сертифікатами, і вони встановлюють настройку, створюючи заплановане завдання, яке запускає UpdateRetriever.exe з %LocalAppData%. Телеметрія показала, що шкідливе ПЗ періодично звертається до confetly.com для отримання оновлень або інструкцій. Аналітики також підтвердили пов’язані артефакти файлової системи та конфігурації, включаючи маркер id.txt та визначення запланованого завдання, що використовується для збереження бекдора активним.

Пом’якшення

Увімкніть та реалізуйте ведення журналу для створення запланованих завдань (ідентифікатор події безпеки 4698) та телеметрії модифікації реєстру (наприклад, Sysmon Event ID 13). Зменшіть ризик виконання, блокуючи або жорстко контролюючи запуски процесів з %LocalAppData%, використовуючи AppLocker або WDAC, і повідомляйте про заплановані завдання, які вказують на каталоги, доступні для запису користувача. Розглядайте підозрілі або ново виявлені сертифікати підпису коду як високий ризик — скасуйте або заблокуйте їх, якщо можливо — та додайте контроль домену для відомої шкідливої інфраструктури. На мережевому рівні розгорніть виявлення діяльності вихідного потоку HTTP на confetly.com і пов’язані шаблони URL та розгляньте можливість запобігання прямого трафіку в Інтернет з робочих станцій користувачів, коли це доцільно.

Реакція

Коли виявлено підозріле заплановане завдання або коли спостерігаються виконувані файли, що працюють з %LocalAppData%, ізолюйте кінцеву точку та збережіть докази (XML завдання, розміщені бінарні файли та відповідні проксі/DNS-журнали). Негайно блокувати confetly.com та будь-яку пов’язану інфраструктуру, щоб перервати командування та контроль. Видаліть шкідливе заплановане завдання, знищте артефакти завантаження та проведіть повну відновлювальну роботу на кінцевій точці, щоб підтвердити, що не залишилося жодної вторинної стійкості. Нарешті, проведіть пошук всередині підприємства за тими ж індикаторами (імена/шляхи завдань, UpdateRetriever.exe, id.txt та зазначені домени) для оцінки додаткових уражених систем.

Simulation Execution

Prerequisite: The Telemetry & Baseline Pre‑flight Check must have passed.

Rationale: This section details the precise execution of the adversary technique (TTP) designed to trigger the detection rule. The commands and narrative MUST directly reflect the TTPs identified and aim to generate the exact telemetry expected by the detection logic.

• Опис атаки та команди:
  Атака, яка вже отримала локальний доступ до системи, бажає підтримувати стійкість після перезавантаження. Вони вирішують зловживати реєстровою базою планувальника завдань Windows, оскільки це метод «життя на поверхні», який уникає створення нових виконуваних файлів. Використовуючи reg.exe, вони додають нове визначення завдання безпосередньо під TaskCacheTasks вуликом, що вказує на шкідливе завантаження, розміщене в %LocalAppData%. Цей запис генерує Event 13 з Sysmon з RegistryPath , що відповідає правилам селектора, викликаючи спрацьовування оповіщення.

• Regression Test Script:

  # -------------------------------------------------------------------------
  # Сценарій PowerShell для симуляції стійкості запланованого завдання T1547.014 / T1574.014
  # -------------------------------------------------------------------------
  
  # Змінні
  $taskGuid = [guid]::NewGuid().ToString("B").ToUpper()   # напр. {A1B2C3D4-...}
  $payload  = "$env:LOCALAPPDATAmalwareevil.exe"
  $regPath  = "HKLM:SoftwareMicrosoftWindows NTCurrentVersionScheduleTaskCacheTasks$taskGuid"
  
  # Переконайтеся, що каталог для завантаження існує (симуляція)
  New-Item -Path (Split-Path $payload) -ItemType Directory -Force | Out-Null
  # (У реальній атаці шкідливий бінарний файл буде розміщений тут)
  
  # Створіть ключ реєстру для запланованого завдання
  New-Item -Path $regPath -Force | Out-Null
  
  # Додайте мінімальні потрібні значення (Task XML був би набагато більшим, ми зберігаємо його простим)
  New-ItemProperty -Path $regPath -Name "Path"          -Value $payload -PropertyType String -Force | Out-Null
  New-ItemProperty -Path $regPath -Name "Id"            -Value $taskGuid -PropertyType String -Force | Out-Null
  New-ItemProperty -Path $regPath -Name "SecurityDescriptor"
      -Value "O:BAG:SYD:(A;;FA;;;SY)(A;;FA;;;BA)" -PropertyType String -Force | Out-Null
  
  Write-Host "[+] Завдання реєстру записано в $regPath – правило виявлення має спрацювати."

• Команди очищення:

  # Видаляємо запис реєстру шкідливого запланованого завдання
  $taskGuid = (Get-ItemProperty -Path "HKLM:SoftwareMicrosoftWindows NTCurrentVersionScheduleTaskCacheTasks*").Id
  $regPath  = "HKLM:SoftwareMicrosoftWindows NTCurrentVersionScheduleTaskCacheTasks$taskGuid"
  Remove-Item -Path $regPath -Recurse -Force
  
  # За бажанням видалити фіктивне завантаження
  Remove-Item -Path "$env:LOCALAPPDATAmalware" -Recurse -Force
  Write-Host "[+] Очистка завершена."