Comparação entre Dois Carregadores de Malware: Da Entrega do ClickFix para C2

Resumo

Os agentes de ameaça estão cada vez mais confiando nas técnicas ClickFix e TerminalFix para entregar carregadores de malware, incluindo Lorem Ipsum Loader e Axolotl Loader. Esses carregadores frequentemente servem como precursores para a implantação de ransomware através de carregamento lateral de DLL, instaladores MSI e execução de Node.js. As campanhas também incorporam técnicas avançadas de evasão, como o descolamento do ntdll e cargas úteis criptografadas embutidas em seções personalizadas de DLL.

Investigação

Pesquisadores analisaram amostras de Lorem Ipsum e Axolotl Loader para examinar suas cadeias de entrega e características técnicas. A investigação revelou instaladores MSI trojanizados, scripts PowerShell em múltiplas etapas e uma distinta .cpoc seção dentro de DLLs usadas para armazenamento de recursos. A análise comparativa também revelou diferenças na comunicação C2, mecanismos de evasão e técnicas de persistência entre as duas famílias de carregadores.

Mitigação

As organizações devem monitorar a telemetria do Sysmon para carregamento lateral de DLL e relações de processo pai-filho suspeitas, incluindo PowerShell lançando arquivos em lote. Recomenda-se aplicar controles rigorosos sobre a execução de instaladores MSI e detectar DLLs não assinadas em diretórios graváveis por usuários. As equipes de segurança também devem inspecionar o tráfego de rede em busca de User-Agents incomuns, como Firefox/143, e padrões de registro C2 suspeitos associados a infecções ativas.

Resposta

Quando for detectada atividade maliciosa, isole os hosts afetados e realize análise forense dos diretórios graváveis por usuários, como C:WindowsTemp ou C:UsersPublic. Procure por tarefas agendadas e chaves Run do Registro usando nomes randômicos. Realize buscas retrospectivas nos logs de DNS e proxy para domínios C2 e endereços IP conhecidos para determinar o alcance da violação.

Execução da Simulação

• Narrativa & Comandos de Ataque: Um adversário obteve acesso inicial e está tentando implantar um carregador de malware modular. Para evadir AVs baseados em assinaturas simples, ele usa PowerShell para chamar um carregador personalizado. O carregador utiliza bibliotecas de tempo de execução específicas (libgcc_s_seh-1.dll) e requer flags específicos (-AgentDll) para inicializar a carga útil na memória. O objetivo do atacante é estabelecer uma conexão C2 persistente carregando esses componentes através de uma cadeia de execução dirigida por PowerShell.

• Script de Teste de Regressão:

  # Script de Simulação para Validação de Detecção
  # Este script imita o comportamento definido na regra Sigma
  
  $workingDir = $env:TEMP
  $dllName = "libgcc_s_seh-1.dll"
  $dllPath = Join-Path $workingDir $dllName
  
  Write-Host "[+] Criando DLL dummy para simulação..."
  New-Item -Path $dllPath -ItemType File -Force | Out-Null
  
  Write-Host "[+] Executando comando PowerShell para acionar seleção1 (nome da DLL na linha de comando)..."
  Start-Process powershell.exe -ArgumentList "-Command `& {Write-Output 'Loading $dllPath'}`" -NoNewWindow
  
  Write-Host "[+] Executando comando PowerShell para acionar seleção2 (flag AgentDll)..."
  Start-Process powershell.exe -ArgumentList "-AgentDll -DepsDir C:Temp -Shim" -NoNewWindow
  
  Write-Host "[+] Simulação Completa."

• Comandos de Limpeza:

  # Script de Limpeza
  $workingDir = $env:TEMP
  $dllName = "libgcc_s_seh-1.dll"
  $dllPath = Join-Path $workingDir $dllName
  
  if (Test-Path $dllPath) {
      Remove-Item -Path $dllPath -Force
      Write-Host "[+] Limpou DLL dummy."
  } else {
      Write-Host "[!] DLL não encontrada, nada para limpar."