DarkGate Sob o Capô

Resumo

DarkGate é um carregador baseado em Delphi vendido como Malware-as-a-Service em mercados criminosos. Inclui funcionalidade total de RAT, resolução dinâmica de API e truques de evasão em camadas, como conjuntos de caracteres base64 personalizados, estilo Union-API syscall carregamento e injeção APC. A ferramenta, atribuída ao vendedor “RastaFarEye”, foi adotada por atores como TA577 e Ducktail. Ela se comunica com C2 via HTTP com cargas úteis ofuscadas e pode implantar utilitários de desktop remoto, roubar tokens do Discord e executar um shell reverso interativo.

Análise de Malware DarkGate

A publicação oferece um tutorial aprofundado de engenharia reversa do executável DarkGate, explicando seu embaralhamento de configuração sob medida, geração de BotID movida a XOR e registro criptografado. Cataloga as técnicas de persistência do carregador, caminhos de escalonamento de privilégios, fluxos de trabalho de roubo de tokens e abuso de binários legítimos como PsExec e Extexport para carregamento de DLL. O artigo documenta ainda mais os padrões de comunicação C2, credenciais hVNC padrão e as portas HTTP típicas utilizadas (2351 e 9999).

Mitigação

As equipes de segurança devem monitorar a criação dos arquivos e entradas de execução no registro referenciados, invalidar ou bloquear imediatamente as credenciais hVNC padrão e detectar o uso de PsExec e Extexport para o carregamento de DLLs não aprovadas. A análise de comportamento deve cobrir o uso de syscall Union-API, injeção APC via NtTestAlert e falsificação de PID pai. As defesas de rede podem sinalizar portas HTTP incomuns e tentar decodificar os alfabetos base64 personalizados do DarkGate para revelar o tráfego C2.

Resposta

Uma vez confirmada a atividade do DarkGate, isole o endpoint afetado, colha os artefatos documentados, termine processos maliciosos e limpe todos os pontos de persistência. Rotacione quaisquer credenciais expostas e bloqueie domínios e intervalos de IP conhecidos de C2. Uma revisão forense completa deve identificar quaisquer cargas úteis secundárias e verificar que todas as DLLs introduzidas por meio de Extexport ou carregadores relacionados foram erradicadas.

Execução de Simulação

Pré-requisito: O Check de Pré-voo de Telemetria & Baseline deve ter sido aprovado.

• Narrativa de Ataque & Comandos:
  O adversário simulado já infiltrou o endpoint e busca estabelecer acesso persistente via RDP. Primeiro, eles coletam credenciais armazenando-as com cmdkey, em seguida usam psexec.exe para mover-se lateralmente, e finalmente lançam uma carga útil do PowerShell que solta um stub de key-logger. Cada etapa é projetada para gerar exatamente os eventos de criação de processo que a regra de detecção monitora.

  1. Coleta de Credenciais (T1552.001) – Armazene uma entrada de credencial criada que corresponda ao padrão de seleção_cmdkey da regra.
  2. Movimento Lateral (T1219) – Execute psexec.exe contra um host remoto, invocando um comando que gera uma nova sessão do PowerShell.
  3. Execução de PowerShell (T1059.001) – Execute um comando PowerShell que carrega um script malicioso (simulado aqui com um comando inofensivo codificado em base64).
  4. Implantação de Keylogger (T1056.001) – Compile e execute um pequeno binário C que chama GetAsyncKeyState, gerando a correspondência do API campo.

• Script de Teste de Regressão:

  # Script de Simulação DarkGate – PowerShell
  # --------------------------------------------------
  # 1. Entrada de credencial Cmdkey (corresponde ao padrão de detecção)
  $generic = '""'                         # genérico vazio como usado pelo DarkGate
  $user    = 'SafeMode'                   # nome de usuário que a regra espera
  $pass    = 'darkgatepassword0'          # senha que a regra espera
  cmd.exe /c cmdkey /generic:$generic /user:$user /pass:$pass
  
  # 2. Movimento lateral com PsExec (o binário deve existir no PATH ou especificar caminho completo)
  $remoteHost = '10.0.0.5'
  $psexecPath = "$env:SystemRootSystem32psexec.exe"
  if (Test-Path $psexecPath) {
      & $psexecPath \$remoteHost -accepteula cmd /c "whoami"
  } else {
      Write-Host "PsExec não encontrado em $psexecPath – pulando esta etapa."
  }
  
  # 3. Execução de PowerShell (comando inofensivo codificado em base64)
  $psCommand = 'Write-Output "PowerShell payload executed"'
  $encoded = [Convert]::ToBase64String([Text.Encoding]::Unicode.GetBytes($psCommand))
  powershell.exe -EncodedCommand $encoded
  
  # 4. Compilação e execução do stub do keylogger
  $cSource = @"
  #include <windows.h>
  int main() {
      // Chamada simples para GetAsyncKeyState para satisfazer a correspondência da API
      GetAsyncKeyState(VK_RETURN);
      return 0;
  }
  "@
  $srcPath = "$env:TEMPkeylog_stub.c"
  $exePath = "$env:TEMPkeylog_stub.exe"
  $cSource | Set-Content -Path $srcPath -Encoding ASCII
  # Compile com Visual C++ (cl.exe deve estar no PATH)
  cl.exe /nologo /O2 /Fe:$exePath $srcPath
  if (Test-Path $exePath) {
      & $exePath
  }

• Comandos de Limpeza:

  # Remova a entrada de credencial
  cmd.exe /c cmdkey /delete:$generic
  
  # Delete arquivos temporários
  Remove-Item -Force -ErrorAction SilentlyContinue "$env:TEMPkeylog_stub.c"
  Remove-Item -Force -ErrorAction SilentlyContinue "$env:TEMPkeylog_stub.exe"
  
  # Opcional: termine quaisquer processos psexec ou powershell lançados pelo script
  Get-Process -Name psexec, powershell -ErrorAction SilentlyContinue | Stop-Process -Force