ล่าสุดและยิ่งใหญ่ที่สุดในปฏิบัติการ Royal ransomware...

บทนำ

ในช่วงหลายเดือนที่ผ่านมา เราได้ให้การสนับสนุนองค์กรหลายแห่งที่ได้รับผลกระทบจากภัยคุกคามจากแรนซัมแวร์ ในบล็อกนี้ เราต้องการแบ่งปันกลยุทธ์ เทคนิค และขั้นตอน (TTP) ล่าสุดที่ใช้โดยกลุ่ม Royal ransomware หวังว่านี่จะช่วยองค์กรและผู้เผชิญเหตุอื่น ๆ ที่กำลังทำงานในกรณีที่คล้ายกัน

รอยัลแรนซัมแวร์

Royal มีบทบาทอย่างมากในช่วงไม่กี่เดือนที่ผ่านมา การวิเคราะห์เว็บไซต์ที่รั่วไหลของพวกเขา ( onion link ) แสดงให้เห็นว่าในเดือนพฤศจิกายน/ธันวาคม 2022 พวกเขาเผยแพร่เหยื่อเกือบ 60 ราย จากกรณีการตอบสนองต่อเหตุการณ์ของเรา เราทราบว่าไม่ใช่เหยื่อทั้งหมดของพวกเขาที่เผยแพร่บนไซต์ที่รั่วไหลของพวกเขา ดังนั้นจำนวนที่แท้จริงจึงสูงกว่านี้ หากคุณต้องการทราบข้อมูลเพิ่มเติมเกี่ยวกับกลุ่มและแรนซัมแวร์ของพวกเขา โปรดดูโพสต์ของ Microsoft นี้

ภาพรวม TTP

ด้านล่างนี้เป็นภาพรวมของ TTP ที่พบสำหรับ Royal ransomware:

ไฮไลท์

การดำเนินการเริ่มต้นของมัลแวร์
ยังคงเป็นที่น่าสนใจเพื่อดูว่า Qbot ใช้เทคนิคอะไรในการหลบเลี่ยงการตรวจจับไฟล์แนบที่เป็นอันตรายและเพื่อให้มันทำงานบนโฮสต์ สำหรับกรณีของเรา เราเห็นห่วงโซ่การติดเชื้อต่อไปนี้:

ตะโกนถึง proxylife(https://twitter.com/pr0xylif)eบน Twitter ที่ติดตามมัลแวร์นี้และแบ่งปันรายละเอียดเกี่ยวกับขั้นตอนการกำหนดค่าและการดำเนินการ

บายพาส UAC
ในการเรียกใช้สคริปต์ที่เป็นอันตราย Royal Group ใช้การบายพาส UAC ที่น่าสนใจมากกับงานตามกำหนดเวลาเริ่มต้น ซึ่งเป็นเทคนิคที่รู้จัก แต่เป็นครั้งแรกที่เราพบสิ่งนี้ ส่วนที่น่าสนใจคือมันง่ายมากที่จะพลาดสิ่งที่เกิดขึ้น เหตุการณ์นี้จะถูกบันทึกใน PowerShell เมื่อดำเนินการบายพาสนี้:

หากต้องการเรียนรู้เพิ่มเติมเกี่ยวกับเทคนิคนี้ โปรดดูบล็อกนี้ โดย Elastic

เคล็ดลับการล่าสัตว์ / การตรวจจับ

วิธีที่ง่ายที่สุดวิธีหนึ่งในการค้นหาร่องรอยของกิจกรรมที่เกี่ยวข้องกับกลุ่มแรนซัมแวร์ตามบันทึกเหตุการณ์ของ Windows คือการค้นหา:

• งานตามกำหนดเวลาในบันทึกเหตุการณ์ของแอปพลิเคชัน
• กิจกรรมของ PowerShell โดยค่าเริ่มต้น จุดสิ้นสุดของ Windows 7+ จะบันทึกกิจกรรมของ PowerShell ได้ค่อนข้างดี
• การติดตั้งบริการหน้าต่าง มักใช้เพื่อความคงอยู่ของ Cobalt Strike

• Royal ใช้ประโยชน์จากตระกูลมัลแวร์เพื่อการเข้าถึงเบื้องต้นมากกว่าหนึ่งตระกูล IcedId เคยมีรายงานว่าเราเห็นพวกเขาใช้ Qbot สำหรับการเข้าถึงครั้งแรก
• พึ่งพา PowerShell อย่างหนักเพื่อให้บรรลุวัตถุประสงค์และใช้ตลอดระยะการโจมตี
• PowerSploitและAdFindยังคงเป็นตัวเลือกยอดนิยมสำหรับกลุ่มแรนซัมแวร์ในการดำเนินการลาดตระเวนและกิจกรรมยกระดับสิทธิ์
• เร็วกว่าวิธีการซ่อนตัว ผู้ดำเนินการ Royal ransomware ย้ายอย่างรวดเร็วจากการเข้าถึงครั้งแรกไปสู่การบุกรุกโดเมนเต็มรูปแบบโดยไม่ต้องกังวลมากเกินไปสำหรับการแจ้งเตือนที่เรียกใช้โดยผลิตภัณฑ์รักษาความปลอดภัย
• พึ่งพาแบ็คดอร์หลายตัวและการเข้าถึงอย่างต่อเนื่องผ่านบีคอน Qbot และ Cobalt Strike
• ปลายทางการกรองข้อมูลหลายแห่งที่เราได้เห็นการติดตั้งและใช้งานแอปพลิเคชัน Dropbox และ MegaSync;
• งานตามกำหนดเวลาที่ใช้สำหรับการคงอยู่และการปรับใช้แรนซัมแวร์

เราเป็นบริษัทตอบสนองเหตุการณ์ที่เชี่ยวชาญในการสนับสนุนองค์กรที่เผชิญกับการโจมตีทางไซเบอร์ เราช่วยให้ลูกค้าของเราไม่พ่ายแพ้!

ฝ่ายสนับสนุนการตอบสนองเหตุการณ์ติดต่อไปที่[email protected] หรือไปที่https://www.invictus-ir.com/247

คำถามหรือข้อเสนอแนะ ติดต่อเราได้ที่[email protected]