代號(hào)為Storm-0249的初始訪問中間人，正通過濫用終端檢測與響應(yīng)解決方案及受信任的微軟Windows系統(tǒng)工具，實(shí)現(xiàn)惡意軟件加載、通信鏈路建立與持久化駐留，為后續(xù)勒索軟件攻擊預(yù)先部署環(huán)境。

Storm-0249已摒棄大規(guī)模釣魚攻擊手段，轉(zhuǎn)而采用更隱蔽、更高級(jí)的攻擊方法。這些方法不僅攻擊效果顯著，且即便相關(guān)攻擊路徑已有詳細(xì)公開文檔，防御方依舊難以有效應(yīng)對。

研究人員在分析一起攻擊事件時(shí)發(fā)現(xiàn)，Storm-0249借助SentinelOne EDR組件的特性隱藏惡意活動(dòng)。這一攻擊手法同樣適用于其他品牌的EDR產(chǎn)品。

對SentinelOne EDR的濫用手段

Storm-0249的攻擊始于ClickFix社會(huì)工程學(xué)騙局，誘導(dǎo)用戶在Windows運(yùn)行對話框中粘貼并執(zhí)行curl命令，以系統(tǒng)權(quán)限（SYSTEM）下載惡意MSI安裝包。

與此同時(shí)，攻擊者還會(huì)從偽造的微軟域名中獲取惡意PowerShell腳本，該腳本會(huì)被直接載入系統(tǒng)內(nèi)存，全程不寫入磁盤，以此規(guī)避殺毒軟件的檢測。

惡意MSI文件會(huì)釋放一個(gè)名為SentinelAgentCore.dll的惡意動(dòng)態(tài)鏈接庫文件。研究人員表示：“攻擊者將該惡意DLL文件特意放置在受害終端已安裝的、合法的SentinelOne EDR組件程序SentinelAgentWorker.exe所在目錄下?！?/p>

隨后，攻擊者通過已簽名的SentinelAgentWorker程序加載該惡意DLL（即DLL側(cè)加載技術(shù)），讓惡意代碼在受信任的高權(quán)限EDR進(jìn)程中執(zhí)行，進(jìn)而實(shí)現(xiàn)可抵御系統(tǒng)更新的隱蔽持久化駐留。

ReliaQuest解釋道：“由合法進(jìn)程全權(quán)執(zhí)行攻擊者的惡意代碼，其行為在安全工具看來與常規(guī)SentinelOne組件活動(dòng)無異，從而繞過檢測機(jī)制?！?/p>

簽署的可執(zhí)行文件側(cè)載惡意DLL

攻擊者獲取目標(biāo)設(shè)備訪問權(quán)限后，會(huì)借助SentinelOne組件，通過reg.exe、findstr.exe等Windows合法工具收集系統(tǒng)標(biāo)識(shí)信息，并以加密HTTPS流量的形式傳輸命令與控制數(shù)據(jù)。

正常情況下，注冊表查詢與字符串檢索這類操作會(huì)觸發(fā)安全警報(bào)，但當(dāng)操作源于受信任的EDR進(jìn)程時(shí)，安全機(jī)制會(huì)將其判定為常規(guī)行為并忽略。

攻擊者會(huì)利用MachineGuid（一種基于硬件的唯一標(biāo)識(shí)符）對受入侵系統(tǒng)進(jìn)行畫像。LockBit、ALPHV等勒索軟件團(tuán)伙常利用該標(biāo)識(shí)符將加密密鑰與特定受害對象進(jìn)行綁定。

這一特征表明，Storm-0249開展的初始訪問入侵活動(dòng)，是根據(jù)其主要客戶（即勒索軟件附屬團(tuán)伙）的需求量身定制的。

對受信任的已簽名EDR進(jìn)程的濫用，可繞過幾乎所有傳統(tǒng)監(jiān)控手段。研究人員建議系統(tǒng)管理員采用基于行為的檢測機(jī)制，重點(diǎn)識(shí)別受信任進(jìn)程從非標(biāo)準(zhǔn)路徑加載未簽名DLL文件的異常行為。此外，加強(qiáng)對curl、PowerShell及各類二進(jìn)制文件的執(zhí)行權(quán)限管控，也有助于提升防御效果。

參考及來源：https://www.bleepingcomputer.com/news/security/ransomware-iab-abuses-edr-for-stealthy-malware-execution/