Backdoor Lindnor e Ferramentas Killer de Segurança Usadas em Ataque de Ransomware nos EUA

Resumo

Um ataque de ransomware contra uma organização dos EUA envolveu o ransomware Anubis e um backdoor personalizado recém-identificado conhecido como Backdoor.Lindnor. Os atacantes implantaram várias ferramentas de Bring Your Own Vulnerable Driver (BYOVD) e executáveis que desabilitam a segurança para obter acesso em nível de kernel. A intrusão foi interrompida antes que pudesse começar a etapa de criptografia do ransomware.

Investigação

A investigação começou depois que o backdoor Lindnor foi detectado em dois sistemas Microsoft SQL Server. Os analistas descobriram que os atacantes disfarçaram o malware como componentes relacionados ao Chrome e VMware, enquanto implementavam várias ferramentas projetadas para terminar serviços de segurança. Software legítimo de acesso remoto, como AnyDesk, configurado para operar no Modo de Segurança, também foi observado.

Mitigação

As organizações devem configurar controles de segurança para bloquear o carregamento não autorizado de drivers e reduzir a exposição a técnicas BYOVD. Controles rigorosos de execução para drivers não assinados ou conhecidos como vulneráveis são essenciais. As equipes de segurança também devem monitorar ferramentas de acesso remoto não autorizadas e alterações suspeitas no registro associadas à persistência ou execução no Modo de Segurança.

Resposta

Quando atividade maliciosa é detectada, isolar sistemas SQL Server afetados e auditar executáveis e drivers instalados recentemente. Conduzir uma caçada abrangente ao backdoor Lindnor e arquivos relacionados como healthcontroller64.exe or svchelper.exe. Revisar chaves de registro para modificações relacionadas ao AnyDesk e investigar a criação de contas de usuários locais não autorizadas.

Execução de Simulação

• Narração & Comandos do Ataque: O adversário obteve acesso inicial e pretende estabelecer um canal de acesso remoto persistente que sobreviva a um reinício no Modo de Segurança. Para evitar a detecção pelo monitoramento padrão da pasta de inicialização, o atacante visa as configurações do registro de Inicialização Segura do Windows. Eles utilizam reg.exe para injetar um novo valor na SafeBootNetwork chave do registro, especificamente nomeando-o como “AnyDesk” e definindo-o como “Service”. Isso garante que, quando um técnico ou o atacante aciona o Modo de Segurança, o AnyDesk seja iniciado automaticamente, fornecendo um backdoor enquanto o conjunto de segurança principal está inativo.

• Script de Teste de Regressão:

  # Script de simulação para imitar a persistência do AnyDesk no Modo de Segurança via reg.exe
  # Este comando corresponde às strings específicas na lógica de detecção.
  
  $registryPath = "HKLMSYSTEMCurrentControlSetControlSafeBootNetworkAnyDesk"
  $command = "reg add `"$registryPath`" /ve /t REG_SZ /d Service /f"
  
  Write-Host "[*] Executando comando de simulação: $command"
  Invoke-Expression $command
  
  if ($LASTEXITCODE -eq 0) {
      Write-Host "[+] Sucesso: A telemetria deve ter sido gerada."
  } else {
      Write-Host "[-] Falha: Comando falhou. Certifique-se de que o script está sendo executado como Administrador."
  }

• Comandos de Limpeza:

  # Script de limpeza para remover a chave de registro simulada
  $registryPath = "HKLMSYSTEMCurrentControlSetControlSafeBootNetworkAnyDesk"
  Write-Host "[*] Limpando: Removendo $registryPath"
  reg delete "$registryPath" /f