Campanha Vinculada ao APT36 Usa KMS Auto em uma Intrusão em Múltiplos Estágios

Resumo

Foi observada uma intrusão em múltiplos estágios começando com o abuso do KMS Auto para entregar uma sequência de cargas maliciosas. A cadeia de ataque progrediu desde a mineração de criptomoedas via XMRig até a implantação de acesso remoto usando ScreenConnect e MeshAgent, culminando em uma carga de scareware disfarçada como ransomware. O estágio final utilizou táticas psicológicas ao mudar papéis de parede e exibir falsas solicitações de resgate sem a real encriptação de arquivos.

Investigação

O K7Labs analisou uma sequência de eventos onde uma execução inicial do KMS Auto levou a uma série de atividades pós-comprometimento com um intervalo consistente de 12-24 horas entre os estágios. A telemetria rastreou a implantação do XMRig, seguida por ferramentas legítimas de gerenciamento remoto usadas de forma maliciosa, e finalmente uma carga nomeada SecurityHealthServices.exe. A análise confirmou que a carga final era um scareware projetado para imitar o comportamento de ransomware através de desfiguração visual e manipulação de extensão de arquivos.

Mitigação

As organizações devem restringir o uso de utilitários de ativação de software não autorizados e monitorar a execução de ferramentas conhecidas de duplo uso como XMRig ou software RMM não autorizado. Implementar whitelisting rigoroso de aplicativos e monitorar extensões de arquivos incomuns ou renomeação massiva de arquivos pode ajudar a mitigar o impacto. Os usuários devem ser educados para evitar repositórios de software não oficiais e sites de torrent para downloads de utilitários.

Resposta

Após a detecção, isolar o endpoint afetado para impedir estágios posteriores da infecção em múltiplos estágios. Realizar uma varredura forense completa para arquivos ocultos em AppData e múltiplos mecanismos de persistência em pastas de inicialização e chaves de execução do registro. Investigar a presença de ferramentas de gerenciamento remoto não autorizadas como ScreenConnect ou MeshAgent para identificar a extensão do acesso do invasor.

Execução de Simulação

• Narrativa & Comandos do Ataque: Um adversário obteve acesso inicial e pretende implantar um minerador de criptomoedas e ferramentas de acesso remoto para manter uma presença de longo prazo e monetizar a violação. O invasor primeiro executa uma ferramenta chamada kmsauto_setup.exe de um diretório temporário. Eles então tentam iniciar xmrig.exe para começar o sequestro de recursos. Para facilitar o controle remoto, eles colocam e executam meshagent.exe. Esta sequência cria os padrões específicos de string que a regra de detecção foi projetada para capturar.

• Script de Teste de Regressão:

  # Simulação de execução em múltiplos estágios ao estilo APT36 para validação de regras
  $tempDir = "$env:TEMPSimulatedAttack"
  New-Item -ItemType Directory -Path $tempDir -Force | Out-Null
  
  # 1. Simular execução do KMS Auto (Disparando 'kmsauto' no caminho da imagem)
  $kmsPath = Join-Path $tempDir "kmsauto_installer.exe"
  New-Item -Path $kmsPath -ItemType File -Force | Out-Null
  Write-Host "[+] Simulando execução do KMS Auto..."
  Start-Process $kmsPath -ArgumentList "/silent" -ErrorAction SilentlyContinue
  
  # 2. Simular execução do XMRig (Disparando 'xmrig' na Linha de Comando)
  $xmrigPath = Join-Path $tempDir "xmrig.exe"
  New-Item -Path $xmrigPath -ItemType File -Force | Out-Null
  Write-Host "[+] Simulando execução do XMRig..."
  Start-Process $xmrigPath -ArgumentList "--donate-level=1 --cpu-max-threads-pct=50" -ErrorAction SilentlyContinue
  
  # 3. Simular execução do MeshAgent (Disparando 'meshagent' na Linha de Comando)
  $meshPath = Join-Path $tempDir "meshagent.exe"
  New-Item -Path $meshPath -ItemType File -Force | Out-Null
  Write-Host "[+] Simulando execução do MeshAgent..."
  Start-Process $meshPath -ArgumentList "--install" -ErrorAction SilentlyContinue
  
  Write-Host "[!] Simulação completa. Verifique alertas no SIEM."

• Comandos de Limpeza:

  # Limpeza de artefatos de simulação
  $tempDir = "$env:TEMPSimulatedAttack"
  if (Test-Path $tempDir) {
      Remove-Item -Path $tempDir -Recurse -Force
      Write-Host "[+] Limpeza bem-sucedida: $tempDir removido."
  } else {
      Write-Host "[!] Falha na limpeza: Diretório não encontrado."