UAC-0099 e Sandworm Implementam Backdoor MythicRatatoskr via Yggdrasil

Resumo

Afiliados associados aos grupos de ransomware INC e The Gentlemen estão aproveitando um ecossistema de intrusão movido por IA para automatizar reconhecimento, geração de comandos e triagem de dados. Os operadores usam uma estrutura personalizada chamada Phantom junto com LLMs comerciais para apoiar intrusões em larga escala. A infraestrutura foi exposta após falhas significativas de OPSEC que revelaram servidores de comando e controle e dados de sessão de IA armazenados.

Investigação

A investigação começou depois que pesquisadores encontraram um servidor de comando e controle exposto em 45.227.254.43 hospedando diretórios abertos contendo o código fonte do Phantom e bancos de dados de sessões de IA. A análise dos arquivos de configuração e credenciais expostos revelou posteriormente seis servidores adicionais controlados por adversários. Pesquisadores identificaram um fluxo de trabalho altamente automatizado em que a IA realiza a maior parte da execução técnica, enquanto operadores humanos mantêm a supervisão.

Mitigação

As organizações devem priorizar a correção de sistemas de borda, especialmente FortiClient EMS, SimpleHelp e cPanel, para fechar caminhos comuns de acesso inicial. A aplicação de autenticação multifator (MFA) em plataformas RMM, VPN e de acesso remoto é essencial para reduzir o risco de reutilização de credenciais. Os defensores também devem habilitar a proteção contra adulteração de EDR e monitorar a terminação não autorizada de serviços de segurança ou o carregamento de drivers vulneráveis conhecidos.

Resposta

Quando atividades maliciosas forem identificadas, isolar dispositivos de borda afetados e auditar contas administrativas em plataformas EMS e RMM para adições não autorizadas. Revisar scripts de conexão VPN para alterações suspeitas e girar credenciais comprometidas imediatamente. Conduzir um exame minucioso de tarefas agendadas e túneis SOCKS reversos ativos para identificar e terminar canais de C2 persistentes.

Execução de Simulação

• Narrativa do Ataque & Comandos: O adversário visa estabelecer persistência no host alvo usando o backdoor MythicRatatoskr. Para simular a detecção, o atacante realizará três ações distintas: 1) Executar um comando contendo a string específica “MATCHWOK backdoor” para acionar seleção1; 2) Depositar um binário malicioso no caminho altamente específico C:windowssystem32updater.exe para acionar seleção2; e 3) Criar um novo Serviço do Windows chamado WindowsDefenderSvc.exe para acionar seleção3. Isso imita a implantação em várias etapas onde o acesso inicial leva a uma persistência de alto privilégio.

• Script de Teste de Regressão:

  # Script de Simulação para Validação da Detecção MATCHWOK/MythicRatatoskr
  # NOTA: Este script deve ser executado com privilégios de Administrador.
  
  Write-Host "[*] Iniciando Simulação..." -ForegroundColor Cyan
  
  # 1. Acionar Seleção 1: CommandLine contém 'MATCHWOK backdoor'
  Write-Host "[+] Acionando Seleção 1 (Linha de Comando)..." -ForegroundColor Yellow
  Start-Process cmd.exe -ArgumentList "/c echo Esta é uma simulação da execução do backdoor MATCHWOK" -WindowStyle Hidden
  
  # 2. Acionar Seleção 2: Imagem é 'C:windowssystem32updater.exe'
  Write-Host "[+] Acionando Seleção 2 (Caminho do Arquivo)..." -ForegroundColor Yellow
  $targetPath = "C:WindowsSystem32updater.exe"
  if (Test-Path $targetPath) { Remove-Item $targetPath -Force }
  New-Item -Path $targetPath -ItemType File -Force | Out-Null
  Start-Process $targetPath -ArgumentList "/silent" -ErrorAction SilentlyContinue
  
  # 3. Acionar Seleção 3: ServiceName é 'WindowsDefenderSvc.exe'
  Write-Host "[+] Acionando Seleção 3 (Nome do Serviço)..." -ForegroundColor Yellow
  $serviceName = "WindowsDefenderSvc.exe"
  # Criando um serviço fictício que executa 'cmd.exe'
  New-Service -Name $serviceName -BinaryPathName "C:WindowsSystem32cmd.exe /c echo persistence" -DisplayName "Windows Defender Security Service" -StartupType Manual
  
  Write-Host "[*] Simulação Completa." -ForegroundColor Green

• Comandos de Limpeza:

  # Script de Limpeza
  Write-Host "[!] Limpando artefatos de simulação..." -ForegroundColor Red
  
  # Remover o serviço
  Stop-Service -Name "WindowsDefenderSvc.exe" -ErrorAction SilentlyContinue
  sc.exe delete "WindowsDefenderSvc.exe"
  
  # Remover o arquivo malicioso
  Remove-Item "C:WindowsSystem32updater.exe" -Force -ErrorAction SilentlyContinue
  
  Write-Host "[*] Limpeza Concluída." -ForegroundColor Green