Tempestade da Meia-Noite Ligada a Campanha de Espionagem em Grande Escala

Resumo

A ReversingLabs identificou uma campanha de espionagem em larga escala associada ao grupo de ameaça russo Midnight Blizzard. A operação usa um stager PowerShell conhecido como ChocoShell e uma backdoor baseada em Go chamada CornFlake para roubar credenciais e manter a persistência. O ator da ameaça teria utilizado a Claude AI para reconstruir e redistribuir implantes de software na tentativa de evitar a detecção.

Investigação

Pesquisadores expandiram dois hashes de malware iniciais através da análise de telemetria, descobrindo um servidor de encenação, cinco variantes adicionais de stager, documentos de isca e infraestrutura de phishing relacionada. A investigação mostrou que, embora os hashes de malware mudassem frequentemente devido a reconstruções assistidas por IA, o comportamento central e os padrões de comunicação C2 permaneceram em grande parte consistentes entre as amostras.

Mitigação

As organizações devem revisar a atividade de login do Microsoft Entra ID em busca de tentativas suspeitas de autenticação por código de dispositivo. É recomendável bloquear fluxos de código de dispositivo através do Acesso Condicional, quando operacionalmente viável. As equipes de segurança também devem implementar o bloqueio a nível de rede para endereços IP C2 identificados e domínios semelhantes maliciosos associados à campanha.

Resposta

Quando a atividade maliciosa é detectada, os respondentes devem investigar o possível roubo de token do Microsoft 365 e tentativas de phishing por código de dispositivo. Verifique a criação não autorizada de serviços e processos suspeitos executando a partir do LocalAppData. Revise blocos de script do PowerShell para endereços IP brutos incorporados, comandos incomuns e rótulos de estágio específicos vinculados à cadeia de ataque observada.

Execução de Simulação

• Narrativa do Ataque & Comandos: O adversário busca estabelecer persistência e evadir a detecção ao se passar por um componente legítimo de serviço do Windows. O atacante cria uma estrutura de diretório AppDataLocalMicrosoftsvchost32 e solta um binário malicioso chamado svchost32.exe. Ao usar um nome semelhante ao legítimo svchost.exe, o atacante espera se misturar ao ruído de um sistema ocupado. Uma vez colocado, o binário é executado para simular a atividade da backdoor baseada em Go.

• Script de Teste de Regressão:

  # Script de simulação para detecção do svchost32.exe do Midnight Blizzard
  $targetDir = "$env:LOCALAPPDATAMicrosoftsvchost32"
  $executableName = "svchost32.exe"
  $executablePath = Join-Path $targetDir $executableName
  
  # 1. Criar a estrutura de diretório
  if (!(Test-Path $targetDir)) {
      New-Item -Path $targetDir -ItemType Directory -Force | Out-Null
      Write-Host "[+] Diretório criado: $targetDir"
  }
  
  # 2. Criar um arquivo fictício para representar o malware (imitando o nome/caminho do arquivo)
  # Em um cenário real, este seria o binário da backdoor Go real
  New-Item -Path $executablePath -ItemType File -Force | Out-Null
  Write-Host "[+] Executável fictício criado: $executablePath"
  
  # 3. Executar o "malware" para acionar o Sysmon Event ID 1
  Write-Host "[!] Executando backdoor simulado..."
  Start-Process -FilePath $executablePath -ArgumentList "/silent" -ErrorAction SilentlyContinue
  Write-Host "[+] Execução completa. Verifique o SIEM para detecção."

• Comandos de Limpeza:

  # Script de limpeza para remover artefatos simulados
  $targetDir = "$env:LOCALAPPDATAMicrosoftsvchost32"
  if (Test-Path $targetDir) {
      Remove-Item -Path $targetDir -Recurse -Force
      Write-Host "[+] Diretório e arquivos de simulação removidos: $targetDir"
  } else {
      Write-Host "[-] Diretório não encontrado, nada para limpar."