A Ilusão do Decodificador de Certificados: Como o Blank Grabber Stealer Oculta Seu Loader

Resumo

BlankGrabber é um infostealer baseado em Python que começa com um carregador de script em lote que “decodifica” um stager compilado em Rust disfarçado como um arquivo de certificado. O stager realiza verificações de sandbox e VM, descriptografa uma carga útil incorporada e solta diversos componentes maliciosos, incluindo um cliente XWorm e um stealer empacotado com PyInstaller. A exfiltração depende de serviços web públicos, como APIs de bot do Telegram e endpoints de consulta IP, para se misturar ao tráfego normal. O malware também altera configurações do sistema, bloqueia o acesso a sites de segurança e tenta ignorar o UAC para fortalecer a persistência.

Investigação

A Equipe de Pesquisa de Ameaças Splunk analisou o carregador inicial entregue via gofile.io, seu uso de certutil.exe para decodificação da carga útil e a lógica de anti-análise do stager Rust. Eles reverteram a engenharia do fluxo de decriptação AES-GCM/CTR, extraíram um arquivo ZIP incorporado e mapearam o conjunto de cargas resultantes. Testes comportamentais mostraram uma ampla descoberta de hosts, captura de webcam, extração de área de transferência e roubo de chaves de host e outros artefatos sensíveis.

Mitigação

Monitore o uso suspeito de certutil.exe, comandos do PowerShell que alteram as preferências do Windows Defender e edições não autorizadas no arquivo hosts. Alerta sobre a execução de WinRAR/rar.exe de caminhos não padronizados e consultas DNS para API do Telegram ou serviços conhecidos de busca de IP. Bloqueie nomes de arquivos maliciosos conhecidos e limite a execução de binários Python não assinados empacotados com PyInstaller através de políticas de controle de aplicativos.

Resposta

Se indicadores forem detectados, isole o endpoint, preserve evidências voláteis e capture o diretório %TEMP% para revisão forense. Remova tarefas agendadas maliciosas ou entradas de execução no registro, reverta quaisquer modificações no arquivo hosts e redefina as exclusões do Windows Defender. Execre uma redefinição completa de credenciais para credenciais do navegador potencialmente expostas e dados de carteiras de criptomoedas.

Execução da Simulação

Pré-requisito: A Verificação Pré-voo de Telemetria & Linha de Base deve ter sido aprovada.

Justificativa: Esta seção detalha a execução precisa da técnica do adversário (TTP) projetada para acionar a regra de detecção. Os comandos e o enredo DEVEM refletir diretamente os TTPs identificados e visam gerar exatamente a telemetria esperada pela lógica de detecção.

• Narrativa de Ataque & Comandos:
  O adversário, tendo comprometido o endpoint com o stealer BlankGrabber, emite consultas DNS para três serviços distintos usados pelo malware para C2 e reconhecimento:

  1. Domínio API do Telegram – usado para buscar comandos via um bot do Telegram.

     Resolve-DnsName -Name api.telegram.org -Type A

  2. Serviço de verificação de IP público – obtém o endereço IP externo da vítima para posterior exfiltração.

     Resolve-DnsName -Name api.ipify.org -Type A

  3. Serviço de compartilhamento de arquivos abusado – envia um pequeno pedaço de dados codificados via um sub-domínio de pastebin.com.

     Resolve-DnsName -Name maliciouspayload.pastebin.com -Type A

  Cada chamada é realizada usando o Resolve-DnsName nativo do PowerShell para garantir que os logs do cliente DNS sejam gerados no host local. As três consultas mapeiam diretamente para os três blocos de seleção da regra Sigma, garantindo uma correspondência. blocos de seleção da regra Sigma, garantindo uma correspondência.

• Script de Teste de Regressão:

  # Simulação de C2 DNS BlankGrabber - aciona a regra de detecção
  $domains = @(
      "api.telegram.org",
      "api.ipify.org",
      "maliciouspayload.pastebin.com"
  )
  
  foreach ($d in $domains) {
      Write-Host "Consultando $d ..."
      try {
          Resolve-DnsName -Name $d -Type A -ErrorAction Stop | Out-Null
          Write-Host "✅ $d consultado"
      } catch {
          Write-Warning "❌ Falha ao consultar $d : $_"
      }
      Start-Sleep -Seconds 2   # pequeno atraso para imitar tráfego realista
  }

• Comandos de Limpeza:

  # Nenhum artefato persistente é criado pelo Resolve-DnsName.
  # Limpe o cache DNS para remover entradas residuais.
  ipconfig /flushdns
  Write-Host "Cache DNS limpo."