O Minerador Não Tão Silencioso: Compilação de Mineradores de Criptomoeda Baseada em Endpoint

Resumo

Um agente de ameaça explorou uma vulnerabilidade do Samsung MagicINFO para obter acesso inicial a um endpoint gerenciado. Ao invés de implantar um binário pré-construído, o atacante compilou um criptominerador Monero personalizado diretamente no host comprometido usando múltiplos compiladores C e utilitários .NET. Essa abordagem permitiu otimização específica para o ambiente, mas também produziu telemetria EDR altamente visível devido ao aumento súbito na atividade de compilação.

Investigação

Pesquisadores da Huntress identificaram a intrusão através de uma telemetria EDR incomum associada a uma instalação do Samsung MagicINFO. A investigação rastreou a atividade até um serviço Apache Tomcat (tomcat9.exe) executando comandos para baixar AnyDesk através de certutil e PowerShell. Os analistas também observaram o atacante criando uma conta de administrador local, desabilitando o Windows Defender e executando vários compiladores para construir o criptominerador.

Mitigação

As organizações devem corrigir rapidamente todas as implantações do Samsung MagicINFO voltadas para a internet para tratar vulnerabilidades conhecidas. Os defensores devem monitorar tentativas repetidas de download de ferramentas de acesso remoto (RMM) e execuções inesperadas de compiladores em endpoints. Limitar a exposição à internet de software de gerenciamento de sinalização digital pode ainda reduzir a superfície de ataque.

Resposta

Quando atividades suspeitas de compiladores ou downloads RMM não autorizados são detectados, isole o endpoint afetado imediatamente para evitar a execução de cargas adicionais. Conduza uma investigação forense completa para determinar o vetor de acesso inicial, incluindo serviços web vulneráveis. Revise contas de usuários locais para adições não autorizadas e verifique a integridade dos controles de segurança, como o Microsoft Defender.

Execução de Simulação

• Narrativa do Ataque & Comandos: O adversário obteve acesso inicial e busca garantir a persistência a longo prazo e prevenir a detecção. O atacante primeiro cria um usuário local chamado oldadministrator e os adiciona ao grupo de Administradores locais. Para evitar que o Windows Defender marque seus downloads de ferramentas subsequentes, o atacante invoca SystemSettingsAdminFlows.exe com o argumento disable . Esta sequência específica é projetada para imitar um padrão conhecido usado por certas famílias de malware de mineração de criptomoedas para enfraquecer as defesas do host.

• Script de Teste de Regressão:

  # Script de Simulação: Acionar detecção 'oldadministrator' e Desativação do Defender
  # Nota: Este script deve ser executado com privilégios administrativos
  
  Write-Host "[+] Iniciando Simulação..." -ForegroundColor Cyan
  
  # 1. Criar o nome de usuário específico exigido pela regra de detecção
  Write-Host "[+] Criando conta: oldadministrator" -ForegroundColor Yellow
  net user oldadministrator Password123! /add
  net localgroup administrators oldadministrator /add
  
  # 2. Simular a desativação do Defender via SystemSettingsAdminFlows.exe
  # Usamos o padrão específico de linha de comando que a regra está procurando
  Write-Host "[+] Executando SystemSettingsAdminFlows.exe com argumento 'disable'" -ForegroundColor Yellow
  Start-Process "C:WindowsSystem32SystemSettingsAdminFlows.exe" -ArgumentList "disable" -ErrorAction SilentlyContinue
  
  Write-Host "[+] Simulação completa. Verifique alertas no SIEM." -ForegroundColor Green

• Comandos de Limpeza:

  # Script de Limpeza: Remover artefatos simulados
  Write-Host "[+] Limpando artefatos de simulação..." -ForegroundColor Cyan
  
  # Remover o usuário criado
  net user oldadministrator /delete
  
  # Nota: Não 'reabilitamos' o defender via script para evitar alterar o estado do sistema
  # a menos que seja especificamente necessário para a estabilidade do ambiente de testes.