Segredos da Esteganografia: Malware Oculto à Vista de Todos

Execução de Simulação

Pré-requisito: O monitoramento de Telemetria & Verificação Pré-voo de Base deve ter sido aprovado.

Justificativa: Esta seção detalha a execução precisa da técnica do adversário (TTP) projetada para acionar a regra de detecção. Os comandos e a narrativa DEVEM refletir diretamente os TTPs identificados e têm como objetivo gerar exatamente a telemetria esperada pela lógica de detecção.

• Narrativa & Comandos de Ataque:

  1. Preparação – Carga Esteganográfica:
     O atacante incorpora um DLL do Remcos RAT compilado dentro de um JPEG benigno usando uma ferramenta personalizada (StegoEmbed.exe). O arquivo resultante (malicious.jpg) carrega a carga maliciosa em seus dados de pixel.

  2. Entrega – Execução do Loader DotNET:
     O atacante executa um carregador baseado em .NET (dotnet.exe) que referencia a imagem estego e inclui o argumento Loader. O carregador lê a imagem, extrai o DLL incorporado e o carrega diretamente na memória (execução na memória) sem escrever no disco, alcançando assim a elevação de privilégios via exploit (T1068).

  3. Resultado – Beacon RAT:
     Uma vez na memória, o Remcos RAT estabelece uma conexão de rede com o servidor C2.

  A telemetria crítica gerada é um evento de criação de processo onde:

  • Imagem (Nome do Processo) contém DotNET (dotnet.exe).
  • Linha de Comando contém a palavra literal Loader.

  Isso satisfaz a regra Sigma selection_dotnet_loader.

• Script de Teste de Regressão:

  # ---------------------------------------------------------
  # Script de Simulação – Loader DotNET com Esteganografia (T1027.003)
  # ---------------------------------------------------------
  # 1. Crie uma imagem estego de teste (placeholder – incorporação real não é necessária)
  $stegoPath = "$env:TEMPmalicious.jpg"
  Copy-Item "$env:SystemRootWebWallpaperWindowsimg0.jpg" $stegoPath -Force
  
  # 2. Execute o loader .NET com a flag requerida
  #    Usando o legítimo dotnet.exe para imitar o nome da imagem “DotNET”.
  #    O argumento “Loader” aciona a regra Sigma.
  $loaderArgs = "`"$stegoPath`" Loader"
  Write-Host "[*] Lançando loader dotnet com argumento: $loaderArgs"
  
  Start-Process -FilePath "dotnet.exe" -ArgumentList $loaderArgs -NoNewWindow
  
  # 3. Aguarde um curto período para garantir que o processo seja capturado pelo Sysmon
  Start-Sleep -Seconds 5
  
  # 4. OPCIONAL: Simule o beacon do RAT (tráfego de rede) – não necessário para o teste da regra
  # ---------------------------------------------------------
  Write-Host "[*] Simulação completa. Verifique alerta no SIEM."

• Comandos de Limpeza:

  # ---------------------------------------------------------
  # Limpeza – remova a imagem estego temporária e pare quaisquer processos de loader remanescentes
  # ---------------------------------------------------------
  $stegoPath = "$env:TEMPmalicious.jpg"
  
  # Remova a imagem temporária
  if (Test-Path $stegoPath) {
      Remove-Item $stegoPath -Force
      Write-Host "[*] Deletado $stegoPath"
  }
  
  # Pare quaisquer processos dotnet iniciados por este script (identificados pelo argumento "Loader")
  Get-Process -Name dotnet -ErrorAction SilentlyContinue |
      Where-Object { $_.Path -like "*dotnet.exe*" -and $_.StartInfo.Arguments -match "Loader" } |
      ForEach-Object {
          $_.Kill()
          Write-Host "[*] Terminado processo ID $($_.Id)"
      }
  # ---------------------------------------------------------