GlassWorm Esconde um RAT Dentro de uma Extensão Maliciosa do Chrome

Resumo

GlassWorm abusa de pacotes npm, PyPI, GitHub e OpenVSX comprometidos para distribuir uma plataforma de malware em múltiplas etapas. Sua primeira etapa lança um carregador que consulta um memo de blockchain Solana para obter endereços de comando e controle, depois baixa uma carga encriptada. A segunda etapa rouba credenciais, arquivos de carteiras de criptomoeda e detalhes do host, enquanto a terceira etapa implanta um RTA persistente baseado em WebSocket junto com uma extensão maliciosa do Chrome projetada para capturar dados do navegador. A operação é direcionada principalmente a desenvolvedores e detentores de criptomoeda.

Investigação

Os analistas vincularam a violação inicial a scripts de pré-instalação maliciosos e carregadores baseados em Unicode incorporados em pacotes que, de outra forma, seriam legítimos. Eles descobriram dois endereços de carteira Solana atuando como locais de armazenamento temporário para URLs de C2 e observaram o carregador consultar vários endpoints RPC da Solana. O RAT da terceira etapa depende de nós de bootstrap DHT e recorre à recuperação baseada em Solana se a resolução do DHT falhar. Os pesquisadores também identificaram a infraestrutura de exfiltração e mapearam a extensão maliciosa do Chrome usada na campanha.

Mitigação

As organizações devem impor varreduras na cadeia de suprimentos para npm e outros ecossistemas de pacotes, verificar a integridade do pacote e a confiança do editor, e bloquear IPs e domínios conhecidos como maliciosos. As defesas de endpoint devem monitorar tempos de execução do Node.js desonestos, tarefas agendadas inesperadas e chaves de execução de registro suspeitas. Os armazenamentos de credenciais do navegador devem ser reforçados, e os usuários de criptomoeda devem adotar a verificação por carteira de hardware sempre que possível.

Resposta

Se GlassWorm for detectado, isole o endpoint afetado, interrompa os processos maliciosos e remova quaisquer arquivos ou mecanismos de persistência, como tarefas agendadas. Revogue os tokens npm comprometidos, gire as credenciais de carteiras de criptomoeda e redefina as senhas armazenadas no navegador. Conclua uma revisão forense completa dos logs do host para rastrear a execução do carregador e atualize os controles de segurança para reduzir o risco de futuras violações na cadeia de suprimentos.

Execução de Simulação

Pré-requisito: O Check Preliminar de Telemetria & Baseline deve ter sido aprovado.

Justificativa: Esta seção detalha a execução precisa da técnica de adversário (TTP) projetada para acionar a regra de detecção. Os comandos e a narrativa DEVEM refletir diretamente os TTPs identificados e visam gerar a telemetria exata esperada pela lógica de detecção.

• Narrativa do Ataque & Comandos:
  Um atacante obteve um binário malicioso que finge ser o cliente da carteira Ledger Live/Trezor. O binário está nomeado Assaac.exe para imitar um executável legítimo. É descartado no diretório %APPDATA% do usuário, e um arquivo JavaScript acompanhante (index.js) é colocado em uma subpasta oculta QtCvyfVWKH. O atacante então executa o binário, fazendo com que o Windows registre um evento de criação de processo com o nome exato da imagem e caminho de linha de comando que a regra Sigma monitora.

  Passo a passo:

  1. Crie a pasta oculta e coloque o script malicioso.
  2. Copie o executável malicioso (Assaac.exe) para o AppData do usuário.
  3. Inicie o executável, que lê index.js e começa as rotinas de roubo de credenciais.

• Script de Teste de Regressão:

  # ------------------------------------------------------------
  # Configurar arquivos maliciosos
  # ------------------------------------------------------------
  $appData = $env:APPDATA
  $folder  = Join-Path $appData "QtCvyfVWKH"
  $exePath = Join-Path $appData "Assaac.exe"
  $jsPath  = Join-Path $folder "index.js"
  
  # Assegurar que a pasta oculta existe
  New-Item -ItemType Directory -Path $folder -Force | Out-Null
  # Ocultar a pasta (opcional)
  (Get-Item $folder).Attributes += 'Hidden'
  
  # Implementar um executável malicioso de demonstração (para demonstração usamos uma cópia do calc.exe)
  Copy-Item -Path "$env:SystemRootSystem32calc.exe" -Destination $exePath -Force
  
  # Implementar uma carga útil JavaScript de demonstração (o conteúdo é irrelevante para a detecção)
  @"
  // espaço reservado de carga útil maliciosa
  console.log('Roubo de carteira cripto executado');
  "@ | Set-Content -Path $jsPath -Encoding UTF8
  
  # ------------------------------------------------------------
  # Executar o binário malicioso (isto deve acionar a regra Sigma)
  # ------------------------------------------------------------
  & $exePath "$jsPath"
  
  # ------------------------------------------------------------
  # Fim do script – deixe artefatos para limpeza manual
  # ------------------------------------------------------------

• Comandos de Limpeza:

  # Terminar o processo malicioso se ainda estiver em execução
  Get-Process -Name "Assaac" -ErrorAction SilentlyContinue | Stop-Process -Force
  
  # Remover os arquivos e pastas criadas
  Remove-Item -Path $exePath -Force -ErrorAction SilentlyContinue
  Remove-Item -Path $jsPath -Force -ErrorAction SilentlyContinue
  Remove-Item -Path $folder -Recurse -Force -ErrorAction SilentlyContinue