Descobrindo uma Variante SectopRAT Embutida em Software Legítimo

Sumário

Os atacantes estão usando um carregador em múltiplos estágios para ocultar o trojan de acesso remoto SectopRAT dentro de software legítimo. O malware depende de manipulação de DLL e execução em memória de código ASM descriptografado para escapar da detecção de segurança. Uma vez implantado, ele permite controle remoto total do sistema comprometido, roubo de credenciais e exfiltração de dados.

Investigação

A equipe de Resposta a Incidentes da FortiGuard descobriu o SectopRAT oculto dentro de um diretório legítimo de estação de trabalho de áudio digital em C:ProgramData. Pesquisadores encontraram que FrameworkBase.dll foi modificado através de manipulação de IAT para carregar uma sdkcra.dllmaliciosa. Análise adicional revelou o uso de hashing de API e técnicas complexas de ofuscação para ocultar a funcionalidade e execução do malware.

Mitigação

As organizações devem garantir que aplicativos legítimos sejam instalados apenas em caminhos de diretório esperados e não em locais incomuns, como C:ProgramData. Proteção robusta de endpoint deve ser implantada para identificar manipulação de DLL e criação não autorizada de tarefas agendadas. As equipes de segurança também devem monitorar conexões suspeitas de saída para endereços IP desconhecidos e domínios de backup que impersonam serviços de criptomoeda.

Resposta

Se atividade de SectopRAT for detectada, sistemas Windows afetados devem ser isolados imediatamente para interromper comunicação C2 adicional e exfiltração de dados. Os respondentes devem coletar dumps de memória para recuperar a carga útil de malware descriptografada e investigar tarefas agendadas não autorizadas associadas a ReportDump.exe. Logs de rede também devem ser revisados para conexões com 98.142.252.140 e domínios de backup temáticos da Binance identificados.

Palavras-chave: SectopRAT, trojan de acesso remoto, carregador em múltiplos estágios, manipulação de DLL, código ASM, execução em memória, Resposta a Incidentes da FortiGuard, FrameworkBase.dll, modificação de IAT, sdkcra.dll, hashing de API, ofuscação, C:ProgramData, ReportDump.exe, Binance, roubo de credenciais, exfiltração de dados, C2.

Execução de Simulação

• Narrativa de Ataque & Comandos: O adversário busca estabelecer persistência e evitar detecção usando Carregamento Lateral de DLL. Eles disponibilizam uma versão legítima de ReportDump.exe dentro de C:ProgramData, um diretório frequentemente ignorado pelos usuários, mas gravável por certos processos. Junto a ele, colocam uma DLL maliciosa chamada sdkcra.dll. Quando ReportDump.exe é executado, ele busca em seu diretório local por dependências, carrega a sdkcra.dllmaliciosa e executa a carga do adversário no contexto de um processo aparentemente benigno.

• Script de Teste de Regressão:

  # Script de Simulação para Detecção de Carregamento Lateral SectopRAT
  # Este script cria a estrutura de diretórios e arquivos necessários para acionar a regra.
  
  $targetDir = "C:ProgramDataSectopSim"
  $exeName = "ReportDump.exe"
  $dllName = "sdkcra.dll"
  
  # 1. Crie o diretório em ProgramData
  if (!(Test-Path $targetDir)) {
      New-Item -Path $targetDir -ItemType Directory | Out-Null
  }
  
  # 2. Crie um executável 'legítimo' fictício
  # Em um ataque real, este seria o verdadeiro ReportDump.exe
  $dummyExe = [System.Text.Encoding]::ASCII.GetBytes("MZ`x00`x01`x00`x00`x00`x00`x00`x00`x00`x00")
  Set-Content -Path "$targetDir$exeName" -Value $dummyExe -NoNewline
  
  # 3. Crie o arquivo DLL malicioso
  $dummyDll = [System.Text.Encoding]::ASCII.GetBytes("MZ`x00`x01`x00`x00`x00`x00`x00`x00`x00`x00")
  Set-Content -Path "$targetDir$dllName" -Value $dummyDll -NoNewline
  
  Write-Host "[+] Arquivos de simulação criados em $targetDir"
  
  # 4. Acione a detecção: Execute o EXE e tente carregar a DLL
  # Nota: Como esses são arquivos fictícios, eles não 'carregarão' como arquivos PE reais,
  # mas para o propósito da lógica da regra de detecção, simulamos a interação com o arquivo.
  # Em uma ferramenta BAS real, usaríamos um binário assinado real para garantir que o Evento ID 7 seja acionado.
  
  Write-Host "[*] Simulando execução de $exeName..."
  # Usando um processo real para simular o comportamento se os arquivos fictícios falharem em acionar o Evento ID 7
  # Para garantir que a regra de detecção (ImageLoaded) seja acionada, um carregamento de DLL real é preferível.
  # Para este script, usaremos PowerShell para simular a telemetria 'ImageLoaded', se possível,
  # mas idealmente, o usuário deve usar um binário vulnerável real.
  
  Start-Process -FilePath "$targetDir$exeName" -ErrorAction SilentlyContinue
  
  Write-Host "[!] Verifique seu SIEM para: Image: .*ReportDump.exe AND ImageLoaded: .*sdkcra.dll"

• Comandos de Limpeza:

  # Script de Limpeza
  $targetDir = "C:ProgramDataSectopSim"
  if (Test-Path $targetDir) {
      Remove-Item -Path $targetDir -Recurse -Force
      Write-Host "[+] Arquivos de simulação limpos."
  } else {
      Write-Host "[-] Diretório alvo não encontrado. Nada para limpar."
  }