Nitrogen

Résumé de la gestion

Nitrogen ne doit pas être lu principalement comme un nom de marque d'un site de fuite, mais comme un modèle d'accès qui permet ransomware. Le noyau est que les utilisateurs sont conduits à des installateurs malveillants par le biais des résultats de recherche, des publicités ou l'imitation logiciel.

C'est très pratique pour les organisations. Beaucoup de programmes de sécurité se concentrent sur le phishingmail, mais les utilisateurs téléchargent des outils légitimes quotidiennement. Si malvertising ou SEO-posizing offre un installateur faux de logiciels populaires, la première étape peut être hors de la sécurité de l'email.

La défense concrète est sur le contrôle d'installation de logiciel, la protection du navigateur, DNS/filtrage, EDR sur les processus enfants des navigateurs et la détection rapide du comportement post-install. Nitrogen est donc une exposition et discipline de fin de course, pas seulement CTI.

Groupement et développement

Nitrogen - les campagnes ont été reliées par des chercheurs à la malversation et l'imitation de logiciels populaires.Nitrogen -accès aux écosystèmes ransomware tels que BlackCat/ALPHV ou Black Basta - impact similaire.

La campagne montre le rôle des courtiers d'accès et chargeurs initiaux. La partie que l'installateur livre n'a pas à être le même que le groupe qui déploie ensuite ransomware. Les profils de l'acteur devraient garder cette chaîne visible.

Nitrogen reste pertinent car les annonces de recherche, les téléchargements et la confiance des logiciels sont difficiles à contrôler complètement.

Exploitation et chaîne d'attaque

L'attaque commence avec un utilisateur qui recherche un logiciel ou clique sur une annonce. Le site fausse semble légitime et livre un installateur. Après exécution, le malware peut placer la persistance, recueillir des informations système et se connecter à commande-et-contrôle.

Après l'exploitation, voici : découverte, accès aux justificatifs, déplacement latéral et déploiement possible d'outils tels que Cobalt Strike ou autres cadres.

Lorsque l'accès semble être précieux, il peut être utilisé pour ransomware. Le groupe final peut avoir un nom différent que Nitrogen. Par conséquent, la réponse incidente devrait regarder en arrière à la phase de téléchargement et navigateur.

Les signaux importants sont les processus de navigateur qui démarrent des installateurs, les processus d'enfant inhabituels, les nouvelles tâches programmées,MSI /EXE à partir des répertoires écrivants utilisateurs,C2- trafic et transition rapide vers des commandes de découverte.

IOC et artefacts connus

Les artefacts sont des annonces malveillantes, des sites de téléchargement similaires, des installateurs dans Downloads/AppData/Temp, l'historique du navigateur, la nouvelle persistance, C2- trafic et post-exploitation outillage.

Les domaines durs échangent rapidement. Par conséquent, détecter la typosquatting, récemment enregistrés, télécharger des fichiers exécutables à partir des routes publicitaires et l'exécution à partir de profils utilisateurs.

LienEDR Sans navigateur et contexte proxy, la première exécution de malware ressemble parfois à un utilisateur qui installe simplement des logiciels.

Caractéristiques des victimes et enseignements tirés

Nitrogen affecte les organisations où les utilisateurs peuvent télécharger et exécuter des logiciels. Cela peut être n'importe où, mais surtout IT, les équipes de gestion, marketing et développement recherchent souvent des outils via le web.

La leçon est que l'intention légitime de l'utilisateur ne garantit pas une route sûre. Quelqu'un qui cherche un véritable outil peut encore installer une copie malveillante.

Une deuxième leçon est que la prévention des ransomware commence par la gestion de logiciel. Les droits d'administration locale, les installateurs incontrôlés et les filtres de navigateur faibles augmentent grandement le risque.

Comment vous armer

Utilisez le contrôle d'application et le catalogue logiciel. Autoriser uniquement les installateurs approuvés et l'exécution de blocs de Téléchargements, Temp et AppData dans la mesure du possible.

Protégez les routes web. DNS filtrage, bloc publicitaire au niveau de l'entreprise, isolation du navigateur pour les groupes à risque et le contrôle de la réputation dans de nouveaux domaines aident.

Chassez le comportement après téléchargement: processus enfants navigateur, PowerShell/msiexec/rundll32 à partir des chemins utilisateurs, tâches programmées, C2 et découverte rapide après l'installation.

Chasses spécifiques

Chassez jusqu'àNitrogen Recherche de téléchargements d'installateurs logiciels court pour les détections de malware, les routes de publicité ou de moteur de recherche, les domaines typosquatting et l'exécution de Téléchargements, Temp ou AppData.

Vérifiez les processus parent-enfant: navigateur à MSI/EXE, MSI à PowerShell/cmd, randll32/regsvr32, création de tâches programmée et puis connexions réseau à une infrastructure inconnue.

Après la première recherche de chargeur pour le comportement Cobalt Strike-comme, l'accès aux titres de compétence, la découverte du domaine, les mouvements multilatéraux et la mise en scène des données. Nitrogen est souvent le début, pas la fin.

Exposition et prévention

L'exposition pour Nitrogen est dans la gestion de logiciels. Si les utilisateurs peuvent télécharger et installer eux-mêmes des outils, en particulier avec les autorisations d'administration locales, la malvertisation reste une entrée directe.

Vérifiez la publicité et DNS-filtering. Bloquer les itinéraires publicitaires risqués, les nouveaux domaines, les lookalikes de logiciels populaires et les téléchargements à partir de miroirs inconnus.

Rendre un catalogue de logiciels interne attrayant et exécutoire. Si les utilisateurs peuvent facilement obtenir des installateurs légitimes, ils cherchent moins à travers des résultats de recherche risqués.

Sources et incertitude

Nitrogen est principalement une chaîne de campagne et d'accès, donc le profil ne devrait pas prétendre que Nitrogen est toujours le dernier groupe qui extorque.

L'attribution devrait faire la distinction entre le chargeur, le courtier d'accès initial, l'opérateur post-exploitation et le groupe de ransomwares final.

Utilisez des ressources techniques comme l'historique du navigateur, les proxylogs et EDR pour prouver la première étape. Sans ce contexte, la phase ransomware est vue séparément de l'entrée réelle.

Scénario exécutif et SOC

Un scénario Nitrogen commence par un employé à la recherche d'un outil connu. En malvertissant ou SEO-poisonnant il télécharge un installateur faux. Le premier événement ressemble donc au comportement normal de l'utilisateur.

Le SOC devrait donc garder le contexte de téléchargement. Quelles URL, quelle annonce, quel nom de fichier, qui hash, quel processus parent et quelle première connexion réseau a suivi l'installation ?

Pour la gouvernance, Nitrogen est une leçon de responsabilité en chaîne. Le ransomware qui apparaît par la suite ne peut pas être le premier acteur. L'incident a commencé avec la distribution de logiciels et le contrôle des paramètres.

Ce que le visiteur doit vérifier en termes concrets

Vérifiez les autorisations d'administration locales. Si les utilisateurs peuvent installer des logiciels librement, la malvertisation devient beaucoup plus dangereuse.

Vérifiez les politiques de navigateur et DNS-. Bloquez les catégories de risque connues, les nouveaux domaines et les itinéraires publicitaires si possible.

Vérifiez que le logiciel approuvé est facilement disponible. La prévention fonctionne mieux lorsque les utilisateurs n'ont pas à chercher eux-mêmes des installateurs.

Relation avec l'exposition à Amuneth

ExpositionNitrogen n'est pas complètement évité, mais peut rendre visible les dérivés de risque web et de téléchargement: typosquatting, sites abusés, portails de téléchargement vulnérables et badTLS ou configuration d'hébergement.

Pour les clients, le lien avec la politique de l'extrémité est important. Une analyse externe montre l'exposition; les conseils devraient expliquer quelles mesures de l'extrémité brisent la chaîne.

Un bon rapport explique que la prévention des ransomwares commence avant la charge utile : lors de la recherche, téléchargement, exécution et première connexion sortante.

Notes supplémentaires de la Défense

Nitrogen est un rappel que la prévention des ransomwares commence au moment où le logiciel est recherché. Moteurs de recherche et annonces sont devenus partie de la chaîne d'attaque. La sécurité devrait donc savoir quels utilisateurs de logiciels ont besoin et comment ils l'obtiennent en toute sécurité.

Un contrôle utile est de bloquer les sites de téléchargement nouveaux ou inconnus pour des outils de gestion communs. Les attaquants imitent souvent les noms connus; réputation, âge du domaine et informations de certificat peuvent aider à identifier le risque tôt.

Lorsque l'accès semblable à Nitrogen est trouvé, l'organisation ne devrait pas s'arrêter lors de la suppression de l'installateur. Recherche des étapes de suivi: identificateurs, C2, découverte, mouvement multilatéral et transfert à un opérateur de ransomware.

Questions opérationnelles supplémentaires

Pour Nitrogen, il est nécessaire de déterminer quels utilisateurs de logiciels installent hors distribution centrale. Toute exception à la gestion de logiciels est une voie de malvertissement possible.

Vérifiez que les téléchargements de navigateur sont liés aux événements de fin de course. Si un installateur faux est en cours d'exécution, l'organisation devrait être en mesure de voir de quel URL il provient et quels processus ont été créés.

Prenez les développeurs et les administrateurs séparément. Ils cherchent souvent des outils, ont des droits plus élevés et sont donc plus attrayants lorsque la malvertisation veut convertir l'accès à ransomware.

Dernier point de contrôle

Un point de contrôle final à Nitrogen est le transfert de l'incident de fin d'emploi à la recherche ransomware. Lorsqu'un installateur faux est trouvé, il faut immédiatement vérifier si les pouvoirs ont été volés, C2 était actif, découverte a été effectuée et d'autres systèmes ont été touchés.

Note de clôture supplémentaire

De plus, Nitrogen devraient être liés à la politique des fournisseurs. Beaucoup de logiciels sont obtenus par l'intermédiaire de portails de téléchargement externes, de gestionnaires de paquets ou de liens de fournisseurs.

Vérifiez que les blocs de téléchargement s'appliquent également à l'extérieur du bureau, par exemple sur les ordinateurs portables qui travaillent à la maison ou en déplacement.

Indicateurs de compromission (IOC)

Les indicateurs sont des observations historiques, pas la preuve d’une infection actuelle. Vérifiez la source, l’ancienneté et le contexte avant toute détection ou tout blocage ; les outils d’administration légitimes peuvent générer des faux positifs.

Sources

• Sophos: Nitrogen malware campaign
• Trend Micro: Nitrogen campaign analysis
• Ransomware.live — Nitrogen

Éléments probants et limites

L’attribution reflète l’évaluation de la source, pas une identité vérifiée. Une inscription sur un site de fuite ne prouve à elle seule ni chiffrement, ni vol de données, ni vulnérabilité précise, ni relation d’affiliation. Les informations manquantes restent explicitement signalées.