Cómo fortiedr protege contra la ejecución de proxy de msbuild

Consulta técnica sobre FortiEDR

El equipo de FortiGuard Responder ha observado intentos de emplear una técnica de ejecución de proxy que utiliza Microsoft MSBuild para implementar balizas Cobalt Strike en los entornos de los clientes. Esta técnica también fue observada y reportada por Renato Marinho de Morphus Labs . La infraestructura C2 asociada con esta actividad también se vinculó a la explotación de log4j a principios de mes, aunque este TTP en sí no se vinculó con log4j. Este artículo demostrará cómo FortiEDR protege contra el uso de esta técnica de ejecución de proxy y analizará una muestra observada en la naturaleza que está fácilmente disponible para validar las protecciones que ofrece FortiEDR.

Descripción

En el momento de la detección, varias muestras que emplearon esta técnica de ejecución de proxy continúan teniendo una tasa de detección muy baja en Virus Total con solo 6/57 proveedores detectándolo como malicioso y solo uno identificando correctamente el implante Cobalt Strike. Muestras similares, que se analizarán más adelante en el artículo, tienen más de 6 meses y todavía tienen una tasa de detección de proveedores inferior a 3/57.

Figura 1: La muestra tiene una tasa de detección muy baja a través de proveedores de AV.

El ejemplo anterior (y el analizado en este artículo) es un archivo de proyecto, que es un esquema XML diseñado para controlar la creación de un ejecutable. La funcionalidad dentro del proceso de MSBuild denominada «Tareas» permite la ejecución de código arbitrario junto con el proceso de compilación para brindar flexibilidad a los usuarios finales, lo que probablemente admita la integración de MSBuild en procesos de compilación automatizados. Esta funcionalidad se ha utilizado en el caso de la muestra analizada, para la ejecución por proxy de una baliza Cobalt Strike.

La muestra observada por el equipo de FortiGuard Responder se entregó a través de una conexión RDP y luego se ejecutó directamente a través del acceso de la GUI al «Símbolo del sistema del desarrollador». Aunque abierta, esta técnica sería a primera vista indistinguible de la actividad estándar, especialmente en entornos donde las herramientas de desarrollo de software son estándar.

Analizando la muestra.

Un archivo de proyecto tiene varios componentes clave de nota en esta muestra; Nombre de destino, Nombre de tarea y la Tarea en sí. El nombre del objetivo define el objetivo de la compilación; en el caso de todas las muestras analizadas por el equipo de FortiGuard Responder, tenía un valor de ‘Depuración’. TaskName es el nombre de una tarea en particular y es una referencia en la definición de Target, en el caso de todas las muestras analizadas por el equipo de FortiGuard Responder, tenía un valor de ‘ClassExample’. Estas dos secciones se pueden observar en la Figura 2 a continuación.

Figura 2: Variables Target Name y TaskName comunes entre muestras.

El componente final es la sección Tarea. La sección de tareas define la tarea que se ejecutará junto con el proceso de compilación. En el caso de las muestras analizadas por el equipo de FortiGuard Responder, la Tarea fue la sección más grande del archivo del proyecto. Las tareas observadas se escribieron en C# y contienen código para decodificar, cargar reflexivamente y luego ejecutar una carga útil de baliza Cobalt Strike. La carga útil de Cobalt Strike se almacena en una variable llamada ‘buff’ y se somete a XOR en bytes con una clave de 5-8 bytes almacenada en una variable llamada ‘key_code’. Los fragmentos de código de estas variables del archivo proj se pueden observar en la Figura 3 a continuación.

Figura 3: matrices de bytes ‘buff’ y ‘key_code’ que almacenan la baliza Cobalt Strike codificada y la clave de decodificación respectivamente. Tenga en cuenta que la variable ‘buff’ ocupa la mayor parte del contenido del archivo y se ha truncado en la figura.

A medida que se ‘construye’ el archivo proj, se ejecuta la tarea ‘ClassExample’. Esta tarea decodifica la variable ‘buff’ en un flujo de memoria que luego se carga de manera reflexiva en el proceso de hospedaje de MSBuild y luego se ejecuta. La sección de código responsable de esta decodificación, carga reflexiva y ejecución se muestra a continuación en la Figura 4.

Figura 4: este fragmento de código muestra cómo cada byte de la matriz ‘buff’ se aplica XOR contra un byte en la matriz ‘key_code’ en un bucle, luego se carga en la memoria y se ejecuta.

En la ejecución, la baliza Cobalt Strike se comunicará con su servidor C2 según su configuración integrada. La configuración de la baliza se puede extraer del ejecutable de la baliza decodificada utilizando el fantástico analizador de configuración Cobalt Strike ( https://github.com/Sentinel-One/CobaltStrikeParser ). La configuración extraída de la muestra analizada anteriormente es una configuración simple, como se muestra a continuación en la Figura 5, con una sola IP como C2Server y un uso mínimo de funciones adicionales de Cobalt Strike. Un análisis completo de una configuración de Cobalt Strike está fuera del alcance de este artículo y ya hay excelentes recursos en la comunidad de seguridad cibernética sobre el tema, pero el siguiente artículo proporciona un punto de partida para aquellos que desean profundizar en la extracción y comprensión de los IOC de este artefacto (https://www.mandiant.com/resources/defining-cobalt-strike-components ).

Figura 5: Archivo de configuración extraído de la baliza Cobalt Strike incrustada. Tenga en cuenta el servidor IP único C2.

Detección y mitigación con FortiEDR

FortiEDR detecta y bloquea de manera efectiva la ejecución del proxy de MSBuild de cargas maliciosas como la baliza Cobalt Strike analizada arriba de fábrica (OOTB) mediante detecciones de comportamiento que forman parte de su conjunto de reglas predeterminado. FortiEDR no incluye en la lista blanca todos los comportamientos asociados con el proceso, por lo que detecta fácilmente comportamientos anómalos, como conexiones de red y carga reflexiva, a pesar de que se conoce el ejecutable de MSBuild, el ejecutable firmado de Microsoft. En el ataque emulado a continuación, la muestra analizada anteriormente se ejecutó a través del símbolo del sistema del desarrollador, mientras que FortiEDR se configuró en ‘Solo registro’. En este modo, FortiEDR solo registra eventos, normalmente se bloquearía permitiendo que la muestra se ejecute por completo, lo que nos brinda la oportunidad de observar la gama completa de comportamientos detectados por FortiEDR.

La ejecución de esta muestra generó dos eventos a partir de tres reglas, cada uno desencadenado por un comportamiento sospechoso/malicioso que se habría detenido, frustrando este ataque si las acciones de FortiEDR se hubieran configurado para bloquear. Estos eventos se pueden ver a continuación en la Figura 6 a continuación.

Figura 6: Eventos detectados por FortiEDR relacionados con la ejecución del proxy MSBuild del archivo de proyecto malicioso analizado anteriormente que contiene una baliza Cobalt Strike.

El primer evento anterior fue activado por la regla ‘Intento de conexión desde una aplicación sospechosa’ en la Política de prevención de exfiltración. Esta regla marca las conexiones de red asociadas con aplicaciones que normalmente no crean conexiones de red o que se sabe que han sido explotadas por adversarios. Se pueden hacer excepciones para permitir el uso legítimo cuando sea necesario. En el caso de estos eventos, el evento se clasificó como «sospechoso» ya que las fuentes de inteligencia de amenazas de FortiGuard Labs marcaron la dirección IP (23.227.178[.]115) como sospechosa. La integración de FortiEDR con los recursos de inteligencia de amenazas de FortiGuard Labs es parte de la configuración predeterminada.

El segundo evento marcó dos reglas de comportamiento, ambas de la Política de prevención de exfiltración; ‘Código dinámico: código malicioso generado en tiempo de ejecución detectado’ y ‘Ejecutable no asignado: archivo ejecutable sin un archivo correspondiente en el disco’. La primera de estas reglas (Código dinámico) se marcó en la baliza Cobalt Strike decodificada que se generó en la memoria en el tiempo de ejecución al fallar la verificación del archivo. Esto se puede ver en la ‘Vista de pilas’ de FortiEDR dentro de la pestaña Análisis forense, como se muestra a continuación en la Figura 7.

Figura 7: Vista de pilas de FortiEDR que muestra la excepción de la regla de código dinámico relacionada con la decodificación de la baliza Cobalt Strike

La segunda regla (ejecutable no asignado) se marcó en la baliza de Cobalt Strike y se cargó de manera reflexiva en el proceso de MSBuild. La memoria asignada a este ejecutable no asignado se puede observar a través de la «Vista de pilas» de la pestaña Análisis forense, como se muestra en la Figura 8 a continuación. FortiEDR se puede usar para volcar el ejecutable de la memoria para un análisis más detallado si es necesario. Esta es una forma alternativa de obtener la baliza Cobalt Strike decodificada en lugar de decodificar el archivo proj directamente.

Figura 8: Vista de pilas de FortiEDR que muestra la excepción de la regla Ejecutable no asignado relacionada con la carga reflexiva de la baliza Cobalt Strike

Caza de amenazas con VT

Tomando indicadores comunes de la muestra analizada, el equipo de FortiGuard Responder identificó varias muestras similares en VirusTotal. Las muestras se remontan a julio de 2021 y parecen venir en dos variantes definidas por los contenidos decodificados de la variable ‘buff’; la variante uno que contiene una versión de BEACON (Cobalt Strike) que coincide con la analizada en este artículo y la variante dos que contiene un stager Metasploit Meterpreter que llama al adversario C2 para descargar una baliza Cobalt Strike. Se puede observar el cruce de infraestructura (dominios e IP) y TTP (agente de usuario, URL, perfil) entre las dos variantes, incluso durante el mismo período de tiempo, lo que indica que es probable que la actividad sea del mismo actor. Además, todas las cargas útiles de Cobalt Strike exportadas comparten la misma marca de agua del producto (426352781).

Conclusión

Este artículo ha demostrado cómo FortiEDR protege contra la ejecución de proxy basada en MSBuild de balizas Cobalt Strike maliciosas y cargadores Meterpreter utilizando reglas, políticas y configuraciones predeterminadas. La búsqueda de amenazas genérica basada en telemetría es difícil para este TTP sin una comprensión de la prevalencia del uso de MSBuild dentro de un entorno, por lo que no se han proporcionado consultas de búsqueda de amenazas como parte de este artículo.

Los IOC para las cargas útiles de BEACON se extrajeron de los archivos de configuración mediante el proceso descrito anteriormente. Los IOC para los etapas de Meterpreter se extrajeron del shellcode descargado después de la decodificación de las variables ‘buff’ incrustadas. La mayoría de los IOC se conocen, pero se han recopilado y puesto a disposición al final de este artículo para que estén completos.

Figura 9: Visitas de host observadas para la página web «hxxp://64.44.139[.]51:8080/safebrowsing/nuzhx/BPxxUS7rqSgy34UkChZ3LrTW1WV91WFfhglLRiDK» durante los últimos tres meses. Tomado de Fortinet Central Threat System (CTS)

También se debe tener en cuenta que, a pesar de que algunos de los IOC se observaron por primera vez en octubre de 2021, las fuentes de inteligencia de amenazas de FortiGuard Labs indican que las víctimas de todo el mundo todavía contactan regularmente al C2. Parte de esta actividad es tan reciente como el 28 de diciembre de 2021 con un aumento significativo en la actividad que comienza a mediados de diciembre desde puntos finales en India, EE. UU. y Europa, como se observa en la Figura 9 anterior.

MITRE ATT&CK

TA0002 – Ejecución

TA0005 – Evasión defensiva

TA0011 – Comando y Control

COI

¡Déjanos cualquier duda sobre FortiEDR aquí abajo!

Mila y César

Hola, somos Mila Jiménez y César Sánchez. Dos apasionados de la ciberseguridad con muchos años de experiencia. Hemos trabajado en muchas empresas del mundo TI y ahora nos apetece compartir nuestro conocimiento con cualquiera que lo necesite.

¡Si te gusta nuestro contenido puedes invitarnos a un café AQUÍ!