STOCKSTAY Prolonga a Estadia: A Mais Recente Adição ao Aparato de Coleta de Inteligência da Turla

Resumo

O Google Threat Intelligence Group identificou o STOCKSTAY, um backdoor multi-componente .NET utilizado pelo agente de ameaça Turla, ligado à Rússia. O malware é construído com um design modular que inclui um tunelador, um orquestrador e um componente de backdoor, todos comunicando-se através de WebSockets seguros. É destinado a apoiar operações de ciberespionagem de longo prazo contra alvos governamentais e militares.

Investigação

GTIG realizou uma análise aprofundada do ecossistema STOCKSTAY e rastreou seu desenvolvimento até dezembro de 2022. Os pesquisadores mapearam seus componentes modulares, examinaram seu uso de chaves ambientais para descriptografar dados de configuração e documentaram sua mudança de disfarce como uma utilidade de mercado de ações para se passar por outros aplicativos benignos. A investigação também revelou o uso do K1MORPHER para ofuscação de strings e ligações ao conhecido toolkit KAZUAR de Turla.

Mitigação

As organizações devem implementar um monitoramento rigoroso para comportamentos suspeitos de aplicativos .NET e tráfego incomum de WebSocket para domínios desconhecidos. Defender contra o acesso inicial por meio de arquivos RDP maliciosos e fortalecer as proteções de e-mail contra phishing também são críticos. Além disso, corrigir vulnerabilidades como a CVE-2025-8088 no WinRAR pode ajudar a bloquear implantações baseadas em exploração.

Resposta

Se a atividade do STOCKSTAY for detectada, isole imediatamente os hosts afetados para interromper a comunicação de comando-e-controle e o movimento lateral. Conduza uma investigação forense detalhada para determinar o escopo completo do comprometimento, com foco particular em alterações não autorizadas no registro e tarefas agendadas recentemente criadas. Logs de rede também devem ser revisados para sessões de WebSocket de longa duração, e sistemas devem ser verificados quanto à presença de arquivos de componentes do STOCKSTAY.

Execução da Simulação

Pré-requisito: A Verificação de Pré-voo de Telemetria e Linha de Base deve ter passado.

Justificativa: Esta seção detalha a execução precisa da técnica do adversário (TTP) projetada para acionar a regra de detecção. Os comandos e a narrativa DEVEM refletir diretamente os TTPs identificados e visam gerar a telemetria exata esperada pela lógica de detecção. Exemplos abstratos ou não relacionados levarão a erros de diagnóstico.

• Narrativa de Ataque & Comandos: O adversário pretende estabelecer persistência usando uma ferramenta que se disfarça como um componente de atualização legítimo da Microsoft. Para evadir detecção, o atacante renomeou seu backdoor STOCKSTAY para MicrosoftUpdateOneDrive.exe e colocou-o em um diretório temporário. O objetivo é executar este processo para iniciar uma shell reversa ou comunicação de comando-e-controle (C2), contando com o nome “legítimo” para contornar o monitoramento básico de processos.

• Script de Teste de Regressão:

  # Script de Simulação: Execução de Mascaramento STOCKSTAY
  $MaliciousName = "MicrosoftUpdateOneDrive.exe"
  $TargetDir = "$env:TEMPStockstaySim"
  
  # 1. Crie um diretório e arquivo "malicioso" simulado
  if (!(Test-Path $TargetDir)) { New-Item -Path $TargetDir -ItemType Directory -Force }
  $FakeBinary = Join-Path $TargetDir $MaliciousName
  
  # 2. Crie um executável fictício (usando um cmd.exe renomeado para fins de simulação)
  Copy-Item "C:WindowsSystem32cmd.exe" -Destination $FakeBinary -Force
  
  Write-Host "[+] Simulação: Criado $FakeBinary" -ForegroundColor Cyan
  
  # 3. Execute o processo "malicioso"
  Write-Host "[+] Simulação: Executando $MaliciousName..." -ForegroundColor Yellow
  Start-Process -FilePath $FakeBinary -ArgumentList "/c echo STOCKSTAY_SIMULATION_ACTIVE" -WindowStyle Hidden
  
  Write-Host "[+] Simulação: Execução do processo iniciada." -ForegroundColor Green

• Comandos de Limpeza:

  # Script de Limpeza
  $TargetDir = "$env:TEMPStockstaySim"
  if (Test-Path $TargetDir) {
      Remove-Item -Path $TargetDir -Recurse -Force
      Write-Host "[+] Limpeza: Removido diretório de simulação $TargetDir" -ForegroundColor Green
  } else {
      Write-Host "[-] Limpeza: Diretório de simulação não encontrado." -ForegroundColor Red
  }