午夜暴雪被指与大规模间谍活动有关

总结

ReversingLabs识别出一个与俄罗斯威胁组织Midnight Blizzard相关的大规模间谍行动。该行动使用一种名为ChocoShell的PowerShell加载器和一个基于Go的后门程序CornFlake来窃取凭证并保持持久性。据报道，该威胁行为者利用Claude AI重建和重新部署软件植入物，以躲避检测。

调查

研究人员通过遥测分析扩展了两个初始恶意软件哈希，揭示了一个中转服务器、五个额外的加载器变体、诱饵文档以及相关的钓鱼基础设施。调查显示，尽管由于AI协助重建，恶意软件的哈希经常变化，但核心行为和C2通信模式在样本中基本保持一致。

缓解措施

组织应查看Microsoft Entra ID登录活动中的可疑设备代码身份验证尝试。建议在操作可行的情况下通过条件访问阻止设备代码流。安全团队还应针对该活动识别的C2 IP地址和恶意仿冒域实施网络层阻止。

响应

当检测到恶意活动时，响应人员应调查潜在的Microsoft 365令牌盗窃和设备代码钓鱼尝试。检查未授权的服务创建以及从LocalAppData执行的可疑进程。查看PowerShell脚本块中嵌入的原始IP地址、不寻常的命令以及与观察到的攻击链相关的特定阶段标签。

模拟执行

• 攻击叙述与命令： 对手试图通过伪装成合法的Windows服务组件来建立持久性并躲避检测。攻击者创建了一个目录结构 AppDataLocalMicrosoftsvchost32 并投放了一个名为 svchost32.exe的恶意二进制文件。通过使用与合法的 svchost.exe相似的名称，攻击者希望能融入繁忙系统的噪声中。一旦放置，该二进制文件即被执行以模拟基于Go的后门活动。

• 回归测试脚本：

  # Midnight Blizzard svchost32.exe检测的模拟脚本
  $targetDir = "$env:LOCALAPPDATAMicrosoftsvchost32"
  $executableName = "svchost32.exe"
  $executablePath = Join-Path $targetDir $executableName
  
  # 1. 创建目录结构
  if (!(Test-Path $targetDir)) {
      New-Item -Path $targetDir -ItemType Directory -Force | Out-Null
      Write-Host "[+] 创建目录: $targetDir"
  }
  
  # 2. 创建一个虚拟文件以代表恶意软件（仿造文件名/路径）
  # 在真实场景中，这将是实际的Go后门二进制文件
  New-Item -Path $executablePath -ItemType File -Force | Out-Null
  Write-Host "[+] 创建虚拟可执行文件: $executablePath"
  
  # 3. 执行“恶意软件”以触发Sysmon事件ID 1
  Write-Host "[!] 执行模拟后门..."
  Start-Process -FilePath $executablePath -ArgumentList "/silent" -ErrorAction SilentlyContinue
  Write-Host "[+] 执行完成。检查SIEM是否有检测。"

• 清理命令：

  # 清理脚本以删除模拟的工件
  $targetDir = "$env:LOCALAPPDATAMicrosoftsvchost32"
  if (Test-Path $targetDir) {
      Remove-Item -Path $targetDir -Recurse -Force
      Write-Host "[+] 移除模拟目录和文件: $targetDir"
  } else {
      Write-Host "[-] 未找到目录，无需清理。"