Wprowadzenie do problemu / definicja
Kampania ransomware Payouts King pokazuje nowy etap rozwoju technik unikania detekcji. Atakujący wykorzystują QEMU do uruchamiania ukrytych maszyn wirtualnych na zainfekowanych systemach, przenosząc do nich część działań posteksploatacyjnych, komunikację z infrastrukturą C2 oraz narzędzia używane do rozpoznania i eksfiltracji danych.
Takie podejście utrudnia pracę systemom EDR i klasycznym rozwiązaniom antywirusowym, ponieważ aktywność przeciwnika nie odbywa się wyłącznie bezpośrednio na hoście. W praktyce oznacza to mniejszą widoczność dla obrońców i większą swobodę operacyjną dla operatorów ransomware.
W skrócie
- Payouts King uruchamia ukryte maszyny wirtualne QEMU z Alpine Linux.
- Maszyny VM są startowane z wysokimi uprawnieniami, często przez zaplanowane zadania.
- Pliki dysków wirtualnych bywają maskowane jako nieszkodliwe artefakty, np. biblioteki DLL lub bazy danych.
- Wewnątrz VM działają narzędzia do tunelowania, zdalnego dostępu, rekonesansu i eksfiltracji danych.
- Kampania może prowadzić do kradzieży poświadczeń, kompromitacji Active Directory i szyfrowania danych na dużą skalę.
Kontekst / historia
Wykorzystanie QEMU przez cyberprzestępców nie jest całkowicie nowe, ale obecna kampania pokazuje, iż technika ta została dopracowana i lepiej zintegrowana z operacjami ransomware. Przeniesienie wybranych elementów łańcucha ataku do maszyny wirtualnej daje napastnikom izolację narzędzi, możliwość działania w środowisku Linux na komputerze z Windows oraz ograniczenie śladów widocznych dla mechanizmów ochronnych hosta.
W opisanych incydentach badacze powiązali aktywność z Payouts King oraz z grupą określaną jako GOLD ENCOUNTER. W drugim scenariuszu wejście do środowiska miało następować przez wykorzystanie podatności CitrixBleed 2 w urządzeniach NetScaler ADC i Gateway. W obu przypadkach po uzyskaniu dostępu atakujący wdrażali trwałość, przygotowywali zdalny dostęp i uruchamiali ukrytą maszynę QEMU jako zaplecze do dalszych działań.
Analiza techniczna
W kampanii przypisywanej Payouts King napastnicy tworzyli zadania harmonogramu o nazwach sugerujących legalne komponenty systemowe. Zadania te uruchamiały QEMU z uprawnieniami SYSTEM, co zapewniało atakującym wysoki poziom kontroli nad środowiskiem. Dodatkowo pliki dysków wirtualnych były maskowane w sposób utrudniający ich szybką identyfikację podczas analizy incydentu.
Maszyna wirtualna oparta była na Alpine Linux 3.22.0. W jej wnętrzu znajdowały się m.in. AdaptixC2, Chisel, BusyBox i Rclone. Taki zestaw narzędzi wskazuje na wykorzystanie VM do zdalnego sterowania, tunelowania ruchu, wykonywania poleceń administracyjnych oraz transferu danych poza organizację.
Badacze zaobserwowali również działania związane z pozyskiwaniem poświadczeń i artefaktów Active Directory. W jednym z wariantów atakujący tworzyli shadow copy, a następnie kopiowali pliki NTDS.dit, SAM oraz hive SYSTEM do katalogów tymczasowych. Pojawiły się też przypadki sideloadingu z użyciem legalnych plików binarnych oraz eksfiltracji danych dzięki Rclone do zewnętrznych lokalizacji SFTP.
W drugim scenariuszu, związanym z eksploatacją CitrixBleed 2, atak rozpoczynał się od przejęcia urządzeń NetScaler. Następnie wdrażano archiwum ZIP ze złośliwym plikiem wykonywalnym, który instalował usługę AppMgmt, tworzył nowe konto lokalnego administratora oraz uruchamiał klienta ScreenConnect. Kolejnym krokiem było rozpakowanie pakietu QEMU i uruchomienie ukrytej maszyny Alpine Linux opartej na obrazie custom.qcow2.
W tej kampanii operatorzy nie ograniczali się do gotowych narzędzi. manualnie instalowali i kompilowali wewnątrz maszyny wirtualnej pakiety takie jak Impacket, KrbRelayx, Coercer, BloodHound.py, NetExec, Kerbrute i Metasploit. To sugeruje dużą elastyczność operacyjną i zdolność do dopasowywania arsenału do konkretnego środowiska ofiary.
Sam ransomware korzystał z mocnej kryptografii, łącząc AES-256 w trybie CTR z RSA-4096. Przy większych plikach stosowano szyfrowanie częściowe, a dodatkowo obserwowano obfuskację kodu, mechanizmy antyanalityczne oraz próby wyłączania narzędzi bezpieczeństwa z użyciem niskopoziomowych wywołań systemowych.
Konsekwencje / ryzyko
Największym problemem dla organizacji jest ograniczona widoczność aktywności prowadzonych wewnątrz maszyny wirtualnej. o ile zespół bezpieczeństwa nie monitoruje uruchomień QEMU, podejrzanych obrazów qcow2, tuneli SSH i nietypowych zadań harmonogramu, atak może rozwijać się przez dłuższy czas bez wykrycia.
Ryzyko nie kończy się na samym szyfrowaniu danych. Kampania wskazuje na możliwość równoczesnej kradzieży poświadczeń domenowych, przejęcia Active Directory, ruchu bocznego i eksfiltracji wrażliwych informacji. Dodatkowo nadużywanie legalnych narzędzi administracyjnych i zdalnego wsparcia utrudnia rozróżnienie pomiędzy prawidłową aktywnością a działaniami napastnika.
Szczególnie narażone są organizacje korzystające z urządzeń brzegowych, paneli administracyjnych dostępnych z internetu, rozwiązań VPN, Citrix oraz narzędzi zdalnego dostępu. Opisane kampanie pokazują, iż skuteczny atak może opierać się nie tylko na nowych lukach, ale również na łączeniu znanych podatności, błędów konfiguracyjnych i technik omijania detekcji.
Rekomendacje
Organizacje powinny rozszerzyć monitoring o wykrywanie nieautoryzowanych instalacji QEMU, pojawienia się plików qcow2, nietypowych obrazów dyskowych oraz procesów związanych z emulacją i wirtualizacją na hostach, które nie powinny z nich korzystać. Ważne jest także regularne przeglądanie zaplanowanych zadań uruchamianych z uprawnieniami SYSTEM, szczególnie jeżeli ich nazwy przypominają legalne komponenty Windows.
Niezbędne jest monitorowanie anomalii sieciowych, takich jak wychodzące tunele SSH, niestandardowe przekierowania portów, połączenia do zewnętrznych serwerów SFTP i FTP oraz nieautoryzowane użycie klientów zdalnego dostępu. Zespół SOC powinien też korelować uruchamianie legalnych plików binarnych z nietypowym ładowaniem bibliotek DLL, co może wskazywać na sideloading.
Po stronie hardeningu warto ograniczyć ekspozycję usług administracyjnych do internetu, wdrożyć odporne na phishing MFA, gwałtownie instalować poprawki na urządzeniach brzegowych oraz regularnie rotować konta uprzywilejowane. W środowiskach Active Directory należy monitorować dostęp do NTDS.dit, hive’ów rejestru oraz tworzenie shadow copy, ponieważ mogą to być silne wskaźniki przygotowań do kradzieży poświadczeń.
W procesie reagowania na incydent nie należy zakładać, iż analiza samego hosta wystarczy. jeżeli pojawiają się oznaki użycia QEMU, konieczne może być zabezpieczenie obrazów dysków wirtualnych, sprawdzenie konfiguracji tuneli oraz analiza artefaktów znajdujących się wewnątrz maszyny gościa.
Podsumowanie
Payouts King pokazuje, iż nowoczesne operacje ransomware coraz częściej wykorzystują wirtualizację jako warstwę ukrycia. Użycie QEMU, ukrytych maszyn Alpine Linux, tuneli SSH oraz narzędzi do rekonesansu i eksfiltracji znacząco utrudnia detekcję oraz zwiększa skuteczność ataku.
Dla zespołów bezpieczeństwa to wyraźny sygnał, iż tradycyjny monitoring endpointów nie zawsze jest wystarczający. Skuteczna obrona wymaga połączenia telemetrii z hostów, sieci, usług brzegowych i środowisk wirtualnych, a także szybkiego reagowania na symptomy nieautoryzowanego zdalnego dostępu.
