Kötü niyetli bing reklamları, Kerberos’tan yararlanmak ve Active Directory Hizmetlerine Saldırı için Silahlı Macun Dağıtım

Microsoft’un arama platformunda sponsorlu sonuçlar kullanan bir kötü niyetli kampanyası, kalıcılığı oluşturan, uygulamalı klavye kontrolünü etkinleştiren ve Active Directory Hizmet Hesaplarını hedeflemek için Kerberoasting’i yürüten silahlandırılmış bir macun sundu.

Level Blue’nun MDR SOC tarafından yayınlanan ve arama reklamları ve SEO zehirlenmesi yoluyla dağıtılan truva atlı yönetici araçlarına bağlı bağımsız araştırma izleme istiridye/broomstick arka kapı aktivitesi tarafından desteklenen bir soruşturmaya göre.

Level Blue’s SOC, USM’de herhangi bir yerde Sentinelone yüksek riskli bir uyarı aldı ve şüpheli bir macun.exe indirdi.

Analiz, Macty.exe’den kötü niyetli altyapıya, %AppData %ve %sıcaklık %’daki şüpheli DLL oluşturmaya, Rundll32 DLLRegisterserver ve Kerberoasting’de hok aktivitesi ile planlanmış görev kalıcılığına kadar giden trafiği vurguladı.

Daha sonra, varlık izole edildi, hesap devre dışı bırakıldı ve yürütme zincirleri yeniden yapılandırıldı. Bu, sahte yükleyicinin her üç dakikada bir çalıştırmak ve kötü amaçlı bir DLL (twain_96.dll) yükleyerek bir “Güvenlik Güncelleyici” görevini planladığını ortaya koydu. Bu DLL daha sonra operatör erişim ve keşif için kullanılan “Green.dll” i düşürdü.

Kerberos’ları sömürmek için silahlı macun

Anormal bir kod imzalama sertifikası ile sahte macun, üç dakikalık aralıklarla DLLRegisterserver ile Rundll32’yi çağıran planlanmış bir görev kalıcılığı yürüttü ve oluşturdu.

Birinci aşama DLL (Twain_96[.]DLL) ikinci aşamayı düşürdü (yeşil[.]DLL) tek bir giden 443 bağlantısı başlatan ve CMD’yi ortaya çıkaran[.]Fidye yazılımı operatörü TTPS (NLTest, Net Grup Domain Adims, NLTEST /DCLIST) ile tutarlı Discovery komutları için exe.

Sentinelone telemetri ve virustotal sınıflandırmalar, DLL’leri, sert kodlanmış C2, planlı görev kalıcılığı ve uzaktan komut yürütme ile bilinen istiridye/süpürge sopası backdoor ailesine eşledi.

Kaydedilen son eylem, SPN taşıyan hesaplar için TGS biletleri talep eden ve AES uygulaması yoksa zayıf RC4-HMAC’den yararlanan, daha sonra Hashcated $ KRB5TGS $ malzeme (mod 13100) yaymak için zayıf RC4-HMAC’den yararlanan satır içi bir PowerShell betiği idi.

Script, Invoke-Kerberoast kalıplarından ödünç alındı, disk yazmadan tamamen bellekte yürütüldü ve USM aracılığıyla RC4-HMAC şifreli Kerberos Service biletlerini (Olay Kimliği 4769) gösteren Anywhere olayları aracılığıyla doğrulandı. Bu, ayrıcalık artış ve reklam hizmetlerine karşı yanal hareket için hizmet hesabı kimlik bilgilerinin çevrimdışı çatlamasını sağladı.

Level Blue, macun taklit eden kötü niyetli sponsorlu sonuçlara ilk erişimi izledi[.]Org ve Puttyy gibi yazım hattı alanlarına yönlendirme[.]Org ve Puttystems[.]Truva atı yükleyicisini teslim eden, yük barındırma ile HeartLanEnergy aracılığıyla gözlemlendi[.]AI ve macunda dönen bir yükleyici komut dosyası[.]Geri ihlal edilmiş WordPress sitelerinden çekilen ağ.

MDR ekibi, varyant yük karmalarını, karma/imza tabanlı tespitlerden kaçınmak için birden fazla kod imzalama sertifikası (New Vision Marketing LLC dahil) ve kum havuzu örneklerinde “Firefox Agent Inc” gibi alternatif planlı görev adlarını kaydetti.

Bu aktivite, Rapid7 ve Arktik Kurt tarafından bildirildiği gibi, truva atma macun/Winscp ve istiridye/süpürge sopası sağlayan daha geniş 2024-2025 kötüverizasyon/SEO zehirlenme eğilimleri ile uyumludur.

İşte Level Blue araştırmasından rapor edilen IOC’lerin, istiridye/süpürge çubuğu arka kapısına bağlı silahlı macun kötüverizasyonuna ilişkin konsolide bir tablosu; Bunları blok listelerine ekleyin ve hızlı muhafaza için boru hatlarını algılayın. Aşağıdaki girişler, Level Blue tarafından belgelenen göstergeleri ve aynı kampanyada hizalanmış açık kaynaklı raporları yansıtmaktadır.

Aşağıda, silahlandırılmış macun/istiridye kötüverizasyon aktivitesiyle bağlantılı alanlar, karmalar, imzalayanlar, IPS, URL’ler ve planlanmış görevleri birleştiren konsolide IOC tablosu bulunmaktadır. Bu göstergeleri blok listeleri, retro avlar ve algılama içeriği için kullanın.

Öneriler arasında tanımlanan alanların engellenmesi, SPN hesaplarında Kerberos için AE’lerin uygulanması, etkilenen SPN’ler için kimlik bilgilerini döndürme ve yazılım edinimi veteriner depolara ve resmi satıcı sitelerine kısıtlamak yer alır.

Güvenlik ekipleri, Rundll32 DLLRegIsterserver kötüye kullanımı, üç dakikalık yinelenen planlanmış görevler, bellek içi Kerberoasting modelleri ve sahte yönetici araçlarını DLL damlalarına ve CMD’ye bağlayan hikaye korelasyonları için özel algılamalar kullanmalıdır.[]Expeda.

Ayrıcalıklı personel için sürekli kullanıcı eğitimi ve filolar arasında hızlı MDR liderliğindeki tehdit avı, bekleme süresini azaltabilir ve künt kimlik bilgisi hırsızlığı-ransom yazılımı yükseltme yollarını azaltabilir.

Bu hikayeyi ilginç bul! Daha fazla güncelleme almak için bizi LinkedIn ve X’te takip edin.