Как группировка Erudite Mogwai перехватывает учетные данные Windows. Часть 2

В прошлом посте мы рассказывали о методе перехвата учетных данных группировки Erudite Mogwai (aka Space Pirates). Тогда вы угадывали, какой способ они использовали. Сегодня — правильный ответ!

👀 Злоумышленники применили метод загрузки SSP через вызов AddSecurityPackage. Этот способ оставляет меньше артефактов на атакуемой системе и помогает проще скрыться.

Как хакеры скрывали активность?

😬Подменой журнала Windows Defender: C:\Windows\Temp\MpCmdRun.log

Строка SSSPotless из ITW-образца указывает, что злоумышленники использовали исходный код модифицированной mimilib.dll из статьи на портале Red Team Notes (скриншот 1).

Такой трюк запутывает аналитиков:
— Имя и путь вредоносного файла совпадают с легитимным.
— При перезаписи файл сохраняет большинство временных меток.
— АВПО продолжает логировать события в уже подмененный файл, из-за чего размер файла и временная метка модификации файла постоянно меняются (скриншот 2).

❗️Последний пункт может помочь определить примерную дату подмены по первому событию в логе.

😬Мимикрией при сохранении учетных данных
Для сокрытия перехваченных учетных данных злоумышленники использовали мимикрию — креды добавляли в конец легитимного файла (скриншот 3):
C:\Windows\System32\NOISE.DAT
Этот файл используется службой индексации Windows для фильтрации общих слов и строк, хранящихся в нем.

В публичном мультисканнере мы нашли аналогичную библиотеку с логами Windows Defender в конце файла. Время компиляции, имя и хеш-суммы файлов без оверлей совпадают.

Вероятно группировка Erudite Mogwai использует такую мимикрию с конца 2024 года.

Original dll-name: TESTSSP.dll

fab60386c473d58cb0772a49e2737ae5 
6bd3a19b87648d368b5b2286f5018d7342bfe060 
aea34cadab9a0d5774c9132251a301c8856047b0db481f0b2e53d5d30a407ff0

Итог: те, кто поставил сердечки — правы!
Отмечаем победу лайком ❤️