Рансъмуерът Royal превърна обикновените компрометирания на Windows в кризи от корпоративен мащаб, комбинирайки първоначално проникване чрез фишинг с бързо поемане на контрол над домейни.

При инциденти, прегледани от екипите за реагиране, атакуващите са използвали Qbot за установяване на присъствие, след което са разширили обхвата си преди внедряването на шифроването.

Резултатът е опустошителна атака, която може да се разпространи по-бързо, отколкото много защитници са очаквали.

Кампанията е започнала с целеви фишинг имейли, изпратени до служители, често съдържащи зловреден прикачен файл. След като жертвата го отвори, Qbot се стартира през командния шел на Windows и помага на киберпрестъпниците да установят контрол.

Подобни методи на доставка направиха Qbot честа заплаха при атаки срещу бизнес имейли.

Анализатори от Invictus са идентифицирали тази активност, докато са подпомагали организации, засегнати от рансъмуера.

От Invictus заявяват в доклад, споделен с Cyber Security News (CSN), че тяхното разследване показва, че Royal разчита на скорост, използвайки множество инструменти и доверени функции на Windows, за да се придвижи от един заразен компютър до много по-широко компрометиране на мрежата.

Royal беше изключително активен в края на 2022 г., когато неговият сайт за изтичане на данни изброи почти 60 жертви само през ноември и декември.

Екипите за реагиране при инциденти предупредиха, че това вероятно е непълна картина, тъй като не всяка жертва се появява на сайта. По-ранни доклади също така документират искания за откуп за милиони долари от страна на Royal.

Рансъмуерът Royal използва Qbot и Cobalt Strike

Атакуващите са използвали Qbot като първа задна вратичка (backdoor), а след това са стартирали Cobalt Strike чрез кодирани PowerShell команди.

Qbot е бил конфигуриран за персистентност чрез ключ в системния регистър на Windows (Windows Registry Run key), докато Cobalt Strike е бил инсталиран като услуга на Windows (Windows service) на няколко системи. Това е осигурило на злонамерените субекти повече от един път за достъп обратно в средата на жертвата.

Двата инструмента също така са били инжектирани в легитимни процеси на Windows, което прави зловредната активност по-трудна за забелязване при прибързано разследване.

Cobalt Strike е използвал peer-to-peer комуникация през именувани канали (named pipes) на Windows, докато и двата инструмента са комуникирали със своите сървъри за управление (C2) чрез HTTPS трафик. Атакуващите многократно са адаптирали Cobalt Strike за вериги от атаки в Windows.

След като са придобили привилегировани домейнови акаунти, групата ги е използвала, за да се придвижва странично през мрежата.

Тя е монтирала отдалечени административни споделени ресурси от първата заразена работна станция и е използвала откраднати хешове на идентификационни данни за достъп до допълнителни системи. Киберпрестъпниците също така са използвали вградени инструменти на Windows за изброяване на потребители, групи, домейнови връзки на доверие и налични мрежови споделени ресурси.

PowerSploit и AdFind са подпомогнали фазата на разузнаване, помагайки на групата да идентифицира локални администратори и да картографира домейна.

Разследването установи, че Royal предпочита директен подход пред стелт тактиките, приемайки, че някои сигнали за сигурност може да се задействат, ако това означава бързо достигане на пълен контрол над домейна. Това темпо оставя малко време на защитниците да овладеят проникването.

Насоките за реагиране се фокусират върху логването в Windows и ранното разследване на подозрителна активност.

Екипите по сигурността трябва да преглеждат планираните задачи в регистрационния файл за събития на приложенията (Application Event Log), да изследват активността на PowerShell и да разследват неочаквани инсталации на услуги в Windows. Тези събития могат да разкрият механизми за персистентност, преди рансъмуерът да бъде разгърнат в мрежата.

Централизирането на записите за инсталиране на услуги е особено полезно, тъй като Cobalt Strike обикновено използва услуги, за да остане активен.

Скорошни проучвания за откриване на рансъмуер в регистрационните файлове на събития на Windows по подобен начин препоръчват събиране на Event ID 7045 и изграждане на правила за засичане на подозрително създаване на услуги.

Организациите също така трябва да третират необичайната активност на PowerShell като приоритет, особено кодирани команди, неочаквано изпълнение на скриптове и стартиране на PowerShell след фишинг събитие.

Royal е използвал PowerShell в няколко етапа на атаката, включително за изпълнението на Cobalt Strike и заобикаляне на контрола на потребителските акаунти (UAC bypass), включващо планирана задача по подразбиране.

Групата също така е извличала данни към услуги за облачно съхранение преди шифроването, като в наблюдаваните случаи са използвани приложенията Dropbox и MegaSync.

Поради това защитниците трябва да наблюдават за неоторизирани инструменти за трансфер към облака, да защитават привилегированите акаунти и бързо да изолират заразените хостове.

Бързите действия са от съществено значение, тъй като операторите на Royal са успели да превърнат една компрометирана работна станция в извънредна ситуация за целия домейн.