Campanha de Envenenamento de SEO Distribui Malware Armorsteal

Resumo

Uma campanha de envenenamento SEO está utilizando sites falsos que se passam pelo Chocolatey e scripts de ativação da Microsoft para distribuir Armorsteal, uma família de malware baseada em Python. O malware inclui módulos de acesso remoto, vigilância e roubo de informações, projetados para exfiltrar dados sensíveis, incluindo carteiras de criptomoedas e credenciais de navegadores. O ataque depende de ofuscação Pyarmor e estabelece persistência automaticamente através de tarefas agendadas.

Investigação

O Zscaler Threat Hunting descobriu a campanha rastreando resultados de pesquisa envenenados para domínios de typosquatting. Os analistas observaram o uso de um runtime Python 3.11 e identificaram assinaturas RSA-2048 usadas para verificar comandos. A investigação também documentou mudanças na infraestrutura C2 enquanto o ator de ameaça se movia entre domínios e provedores de hospedagem.

Mitigação

As organizações devem bloquear domínios e endereços IP maliciosos identificados em todos os controles de segurança. Os defensores devem investigar endpoints para tarefas agendadas não autorizadas e arquivos suspeitos armazenados em diretórios do sistema Windows. Revisar exclusões do Microsoft Defender e educar usuários a verificarem fontes legítimas de download de software também pode ajudar a reduzir a exposição à campanha.

Resposta

Quando atividade do Armorsteal for detectada, isole imediatamente os sistemas infectados e remova tarefas agendadas não autorizadas, como SysCheck2 e SysCheckX. Procure por arquivos suspeitos em C:WindowsSystemHealthUpdate e revise logs do PowerShell para downloads maliciosos. Monitore o tráfego de saída HTTPS para endpoints C2 conhecidos e inspecione processos de navegador iniciados com portas de depuração remotas habilitadas.

Executar Simulação

• Narrativa do Ataque & Comandos: Um adversário enganou com sucesso um usuário via envenenamento SEO para executar um script malicioso. O objetivo é instalar o módulo de acesso remoto Armorsteal. Para evadir a detecção, o invasor usa um script do PowerShell chamado install.ps1 que, ao ser executado, cria uma estrutura de diretório enganosa C:WindowsSystemHealthUpdate para ocultar seus componentes, disfarçando-se como uma atualização legítima de saúde do sistema Windows.

• Script de Teste de Regressão:

  # Simulação do Padrão de Instalação Armorsteal
  # Passo 1: Crie a estrutura de diretório enganosa
  $targetDir = "C:WindowsSystemHealthUpdate"
  if (!(Test-Path $targetDir)) {
      New-Item -Path $targetDir -ItemType Directory -Force
  }
  
  # Passo 2: Simule a execução do instalador malicioso
  # Este comando é projetado para acionar as lógicas 'selection_powershell' e 'selection_directory'
  powershell.exe -ExecutionPolicy Bypass -File "install.ps1" -TargetDir "$targetDir"
  
  # Nota: Como install.ps1 pode não existir localmente, simulamos o acionador da linha de comando
  # que é o que a regra Sigma está procurando.
  Start-Process "powershell.exe" -ArgumentList "-File install.ps1"
  
  # Passo 3: Crie um arquivo fictício nesse diretório para acionar o requisito 'selection_directory'
  $dummyFile = Join-Path $targetDir "armorsteal_module.dll"
  New-Item -Path $dummyFile -ItemType "File" -Force

• Comandos de Limpeza:

  # Remova o diretório e arquivos maliciosos criados durante a simulação
  Remove-Item -Path "C:WindowsSystemHealth" -Recurse -Force