Dropping Elephant 使用 GoogleErrorReport 计划任务来保持新 RAT 的活动状态

Dropping Elephant 使用恶意 Windows 快捷方式、DLL 侧面加载和名为 GoogleErrorReport 的计划任务来使新的内存驻留远程访问木马在受感染的 Windows 系统上保持活动状态。

该活动的详细信息为快速7，它发现了一个围绕名为 GRES3001.lnk 的诱饵文件构建的中国主题装载机链。该快捷方式伪装成链接到工业能源合同的 PDF。

打开后，该快捷方式会在后台运行一个模糊的 PowerShell 下载程序，同时向受害者显示一份诱饵 GRES-3 海水泵合同文档。然后，恶意软件会暂存其文件，将最终的有效负载加载到内存中，并创建每分钟运行的持久性机制。

攻击从伪造的 PDF 快捷方式开始

第一阶段文件不是普通的 PDF。它是一种 Windows 快捷方式文件，其设计看起来就像这样。它使用 Edge 风格的图标，并通过 conhost.exe 启动 PowerShell，帮助命令链融入正常的 Windows 活动。

PowerShell 命令从暂存域 chinagreenenergy[.]org 下载多个文件。下载的文件包括诱饵 PDF、名为 Fondue.exe 的合法 Microsoft 二进制文件、恶意 APPWIZ.cpl 加载程序、运行时 DLL 和名为 editor.dat 的加密有效负载文件。

微软的火锅命令文档将 fontue.exe 描述为 Windows 工具，用于启用可选的 Windows 功能。在此活动中，攻击者滥用合法的二进制文件作为侧面加载链的一部分，而不是将其用于预期的管理目的。

文件暂存后，恶意软件会创建一个名为 GoogleErrorReport 的计划任务。这个名称看起来像是例行公事，但 Rapid7 表示该任务被配置为从暂存位置重复运行 Fondue.exe。

这允许 DLL 侧加载链在中断时重新启动恶意软件。然后，原始快捷方式将被删除，从而删除启动感染的最明显的文件。

该行为紧密映射到MITRE ATT&CK Windows计划任务技术，其中描述了攻击者如何滥用计划任务在启动时、登录时或按定期计划运行恶意代码以实现持久性。

• 查找名为 GoogleErrorReport 的计划任务。
• 检查任务是否从 C:\Users\Public 或其他异常路径运行 Fondue.exe。
• 研究启动 PowerShell 或 conhost.exe 的快捷方式文件。
• 查看 chinagreenenergy[.]org 的下载以及与 gcl-power[.]org 的连接。
• 搜索 APPWIZ.cpl、editor.dat 以及在正常应用程序目录之外暂存的可疑运行时 DLL。

RAT 在内存中运行并通过 HTTPS 进行通信

该恶意软件不会简单地删除正常的可执行文件并从磁盘运行它。加载器解密 editor.dat 并将结果传递给 Donut shellcode 加载器，该加载器将 RAT 直接映射到内存中。

这很重要，因为仅内存执行会降低基于文件的检测的价值。安全工具仍可能捕获该行为，但团队需要遥测来查看可疑的进程行为、内存分配、脚本活动和进程内篡改。

激活后，RAT 通过 HTTPS 在端口 443 上连接到 gcl-power[.]org。它每 10 秒检查一次，并支持文件列表、命令执行、屏幕截图捕获、上传和下载命令。

DLL 侧面加载有助于活动融入

DLL 侧面加载是滥用受信任二进制文件的常见方法。攻击者将恶意库放置在合法程序将加载它的位置，从而允许恶意代码在受信任的可执行文件的掩护下运行。

该技术符合MITRE ATT&CK DLL 旁加载，这解释了对手如何劫持程序加载库的方式来执行自己的有效负载并逃避防御。

在这次活动中，Fondue.exe 为加载链提供了一个看起来合法的父进程。可疑的部分不是 Fondue.exe 存在于 Windows 上，而是它出现在包含 APPWIZ.cpl、暂存文件和重复计划任务的不寻常执行链中。

• Fondue.exe 通常应与 Windows 可选功能活动相关。
• 应审查从 C:\Users\Public 运行或与 C:\Users\Public 交互的 Fondue.exe。
• APPWIZ.cpl 位于预期 Windows 位置之外是可疑的。
• DLL 和 CPL 加载行为应与父进程、路径和命令行相关。
• 当执行上下文看起来异常时，安全团队不应信任已签名的二进制文件。

RAT 包含多种反分析功能

Rapid7 发现最终的 RAT 包含多种规避技术。它使用控制流扁平化来使代码更难以阅读，在运行时解析 API 函数，并检查调试或与沙箱相关的进程。

该恶意软件还在运行其有效负载之前修补与 Windows 安全相关的功能，例如 AMSI、WLDP 和 ETW。这些步骤可能会使分析变得更加困难，并可能降低依赖这些检查路径的安全产品的可见性。

在连接到其命令服务器之前，RAT 会通过访问 google.com、yahoo.com 和 cloudflare.com 等常见网站来检查连接性。它还在 api.ipify.org 中查询公共 IP 地址，在 ip2c.org 中查询国家/地区信息。

捍卫者应该追捕行为，而不仅仅是国际奥委会

静态指示器可以帮助立即阻止，但此活动说明了为什么防御者应该关注行为。域、哈希值、文件名和 URL 路径可能会快速更改。攻击者更难完全替换执行模式。

最强的检测机会包括生成 PowerShell 的快捷方式、下载到公共文件夹、参与异常侧加载行为的 Fondue.exe 以及从非标准位置运行的 GoogleErrorReport 计划任务。

这快速7分析还建议防御者超越 IOC，注意加载程序链行为、内存驻留有效负载执行以及进程内篡改 Windows 防御控制。

• 阻止或警告生成 PowerShell 的 LNK 文件。
• 监视 PowerShell 中是否有混淆的下载命令。
• 关于名为 GoogleErrorReport 的计划任务创建的警报。
• 查看涉及用户可写目录的 Fondue.exe 执行。
• 检测从 C:\Users\Public 或临时文件夹加载的 APPWIZ.cpl。
• 在 C:\Windows\Tasks 或其他不常见路径下搜索 editor.dat。
• 监控 gcl-power[.]org 的 HTTPS 流量以及 chinagreenenergy[.]org 的暂存流量。
• 检查可疑的内存分配、AMSI 修补、ETW 修补和意外的屏幕截图活动。

计划任务仍然是一种可靠的持久性方法，因为它们内置于 Windows 中，并且在繁忙的环境中经常被忽视。这MITRE计划任务指导明确指出攻击者使用此功能重复运行恶意代码或在特定帐户上下文下运行恶意代码。

同样，该活动对合法 Windows 二进制文件的使用表明了为什么防御者需要上下文感知监控。这微软fondue.exe文档有助于确定正常使用情况，同时MITRE 的 DLL 侧加载入口解释了为什么攻击者经常隐藏在受信任的程序后面。

FAQ