Campanha DarkBlinders Ataca Vítimas Com Táticas de Espionagem Avançadas

Resumo

DarkBlinders é uma campanha de ciberespionagem ativa que mira organizações governamentais e diplomáticas em Israel e na Região do Curdistão do Iraque. O ator da ameaça utiliza iscas de phishing sofisticadas, incluindo aplicativos de reunião de vídeo falsos e réplicas de serviços de armazenamento em nuvem, para implantar malware personalizado. A operação também utiliza repositórios no GitHub para comando e controle (C2) e usa ativação seletiva para seu backdoor de segunda fase.

Investigação

O Dream Research Labs conduziu uma análise aprofundada da campanha DarkBlinders e descobriu uma cadeia de infecção em várias etapas envolvendo um aplicativo isca chamado StarkMeet. Os pesquisadores fizeram engenharia reversa do malware e obtiveram acesso somente leitura à infraestrutura C2 do ator da ameaça baseada no GitHub. Essa visibilidade permitiu que eles identificassem tarefas das vítimas e observassem a exfiltração de mais de 1 GB de dados de um ambiente em nuvem do governo.

Mitigação

As organizações devem impor controles rigorosos sobre instalações de software não verificadas e monitorar conexões de saída incomuns para serviços compartilhados, como o GitHub, a partir de sistemas não desenvolvedores. Recomenda-se também um exame minucioso dos links de compartilhamento de arquivos em nuvem e anexos de e-mail suspeitos. Monitorar a execução não autorizada do PowerShell através do AppDomainManager ou carregamento em memória pode ajudar ainda mais a identificar atividades associadas a essa técnica de carregamento.

Resposta

Quando a atividade do DarkBlinders for detectada, isole os hosts afetados para interromper a exfiltração adicional de dados e preserve a memória para exame forense de cargas úteis em memória. Revise tokens de acesso pessoal do GitHub e logs de acesso a repositórios se atividade suspeita estiver ligada ao ambiente de desenvolvimento da organização. Redefina credenciais para todas as contas que possam ter sido expostas pela infraestrutura de phishing identificada.

Execução de Simulação

• Narrativa & Comandos de Ataque: O adversário visa estabelecer persistência e acesso remoto usando o kit de ferramentas DarkBlinders. Após obter acesso inicial, o atacante implanta um aplicativo isca chamado StarkMeet.exe. Para evadir detecção, o malware do atacante executa um comando shell para baixar mais cargas úteis. Nesta simulação, criaremos manualmente um arquivo fictício StarkMeet.exe e acioná-lo para executar cmd.exe, que corresponde à lógica da regra: (StarkMeet.exe) E (cmd).

• Script de Teste de Regressão:

  # Script de Simulação: Gatilho do Componente DarkBlinders
  # 1. Crie um arquivo fictício para representar o componente DarkBlinders
  $dummyPath = "$env:TEMPStarkMeet.exe"
  New-Item -Path $dummyPath -ItemType File -Force
  
  # 2. Use uma pequena carga útil para fazer o 'executável' realmente rodar um comando 
  # Para fins de simulação, usaremos um wrapper PowerShell para iniciar o processo 'malicioso'
  # que imita o comportamento do componente chamando cmd.exe.
  
  Write-Host "[+] Simulando execução do componente DarkBlinders..."
  
  # Usamos Start-Process para simular o processo StarkMeet.exe gerando o cmd.exe
  # Nota: Em um cenário real, o próprio binário realizaria o spawn.
  # Para acionar a lógica específica da 'Imagem' da regra Sigma, devemos renomear um processo ou 
  # simular a execução desse nome de arquivo específico.
  
  # Como não podemos compilar facilmente um binário real aqui, simulamos o evento de criação de processo
  # que o Sysmon veria quando StarkMeet.exe roda cmd.exe.
  
  Start-Process -FilePath "$env:TEMPStarkMeet.exe" -ArgumentList "cmd.exe /c echo 'Acionando Detecção'" -ErrorAction SilentlyContinue
  
  # Como não podemos realmente 'rodar' um arquivo não binário, usamos este comando para criar 
  # o padrão de telemetria exato através de uma criação de processo simulada, se possível, 
  # ou simplesmente reconhecer que para a regra acionar, o arquivo deve existir.
  
  # ABORDAGEM REALISTA PARA O TESTE:
  # Vamos criar um pequeno executável ou usar uma maneira conhecida de nomear um processo.
  # Para este script, assumimos que o ambiente nos permite renomear uma ferramenta do sistema para StarkMeet.exe
  Copy-Item "C:WindowsSystem32cmd.exe" -Destination "$env:TEMPStarkMeet.exe"
  Start-Process -FilePath "$env:TEMPStarkMeet.exe" -ArgumentList "/c echo DetectionTriggered"
  
  Write-Host "[+] Comando de simulação enviado. Verifique o SIEM para StarkMeet.exe + cmd/powershell."

• Comandos de Limpeza:

  # Limpeza de artefatos de simulação
  Remove-Item -Path "$env:TEMPStarkMeet.exe" -Force -ErrorAction SilentlyContinue
  Write-Host "[+] Limpeza completa."