As Mãos de Alguém Estão no Seu Teclado e Então em Toda a Sua Rede. Cortesia de ClickFix, Potemkin, RMMProject e EtherRAT

"graph TB %% Class Definitions classDef initial_access fill:#f96,stroke:#333,stroke-width:2px classDef execution fill:#3498db,stroke:#333,stroke-width:2px classDef defense_evasion fill:#9b59b6,stroke:#333,stroke-width:2px classDef persistence fill:#2ecc71,stroke:#333,stroke-width:2px classDef c2 fill:#e74c3c,stroke:#333,stroke-width:2px classDef credential_access fill:#f1c40f,stroke:#333,stroke-width:2px classDef lateral_movement fill:#1abc9c,stroke:#333,stroke-width:2px classDef defense_impairment fill:#34495e,stroke:#333,stroke-width:2px %% Initial Access and Execution Phase action_clickfix["<b>Ação</b> – <b>T1204.004 Execução do Usuário: Copiar e Colar Malicioso</b><br/>Descrição: O usuário é enganado via engenharia social ClickFix para colar e executar um comando na caixa de diálogo Executar do Windows.<br/><b/>Artefatos: cmd /min /c pcalua.exe -a mshta.exe…"] class action_clickfix initial_access exec_mshta["<b/>Ação</b> – <b>T1218.005 Execução de Proxy de Binário de Sistema: Mshta</b><br/>Descrição: Abusa do pcalua.exe para executar o mshta.exe para buscar carga útil HTA remota.<br/><b/>Artefatos: carga útil hte.hta, pcalua.exe"] class exec_mshta execution exec_msiexec["<b/>Ação</b> – <b>T1218.007 Execução de Proxy de Binário de Sistema: Msiexec</b><br/>Descrição: Pacote MSI malicioso é instalado silenciosamente usando msiexec.<br/><b/>Artefatos: inst24.msi, msiexec /qn"] class exec_msiexec execution %% Persistence and Loader Phase persist_netsh["<b/>Ação</b> – <b>T1546.007 Execução Disparada por Evento: DLL de Ajuda Netsh</b><br/>Descrição: Persistência estabelecida via um componente AutostartRegistry MSI.<br/><b/>Artefatos: carregador Potemkin, RunSearch.exe em %LOCALAPPDATA%MicrosoftRunSearch"] class persist_netsh persistence %% Command and Control Phase c2_dga["<b/>Ação</b> – <b>T1568 Resolução Dinâmica</b><br/>Descrição: Carregador Potemkin usa um Algoritmo de Geração de Domínio para encontrar servidores C2.<br/><b/>Artefatos: Potemkin DGA"] class c2_dga c2 c2_ether["<b/>Ação</b> – <b>T1568 Resolução Dinâmica</b><br/>Descrição: EtherRAT resolve seu endereço C2 do blockchain Ethereum via EtherHiding.<br/><b/>Artefatos: EtherRAT"] class c2_ether c2 %% Credential Access Phase cred_steal["<b/>Ação</b> – <b>T1539 Roubo de Cookie de Sessão Web</b><br/>Descrição: RMMProject RAT visa navegadores para roubar cookies e credenciais via injeção de DLL para contornar a Criptografia Vinculada a Aplicativos do Chrome.<br/><b/>Artefatos: RMMProject, bancos de dados SQLite do navegador"] class cred_steal credential_access %% Lateral Movement Phase lat_move["<b/>Ação</b> – <b>T1210 Exploração de Serviços Remotos</b><br/>Descrição: O atacante se move lateralmente usando WMIExec e SMBExec para espalhar o instalador MSI.<br/><b/>Artefatos: WMIExec, SMBExec, msiexec /i <IP>ADMIN$Temp…"] class lat_move lateral_movement %% Defense Impairment Phase def_impair["<b/>Ação</b> – <b>T1687 Exploração para Impedimento de Defesa</b><br/>Descrição: Combatendo o Windows Defender ao alterar o AMSI, escrevendo políticas de registro e parando o serviço.<br/><b/>Artefatos: chaves de registro DisableAntiSpyware, Stop-Service WinDefend, alteração do AMSI"] class def_impair defense_impairment %% C2 Tunneling Phase c2_tunnel["<b/>Ação</b> – <b>T1572 Tunelamento de Protocolo</b><br/>Descrição: Usando Chisel para estabelecer túneis SOCKS reversos e túneis Cloudflare para expor serviços internos.<br/><b/>Artefatos: Chisel, cloudflared renomeado para svchost.exe"] class c2_tunnel c2 %% Connections %% Flow from initial access to execution action_clickfix –>|leads_to| exec_mshta action_clickfix –>|leads_to| exec_msiexec %% Execution leads to persistence exec_msiexec –>|installs| persist_netsh %% Persistence leads to C2 and Loader deployment persist_netsh –>|deploys| c2_dga persist_netsh –>|deploys| c2_ether %% C2 activities lead to credential access c2_dga –>|executes| cred_steal c2_ether –>|executes| cred_steal %% Lateral movement spreads the attack cred_steal –>|enables| lat_move lat_move –>|deploys_to_new_hosts| exec_msiexec %% Defense impairment protects the attacker exec_mshta –>|used_to_patch| def_impair def_impair –>|facilitates| c2_tunnel "

Fluxo de Ataque