Laboratórios de Segurança Elastic revelam BRUSHWORM e BRUSHLOGGER

Ruslan Mikhalov Chefe de Pesquisa de Ameaças na SOC Prime

Seguir

Laboratórios de Segurança Elastic revelam BRUSHWORM e BRUSHLOGGER

Detection stack

AIDR
Alert
ETL
Query

Relatório de Ameaça
Fluxo de Ataque
Detecções
Simulações

Resumo

Elastic Security Labs descobriu duas famílias de malware personalizadas, BRUSHWORM e BRUSHLOGGER, usadas contra uma instituição financeira no sul da Ásia. BRUSHWORM é um backdoor modular que mantém persistência através de uma tarefa agendada, propaga-se via mídias removíveis e rouba arquivos de uma ampla gama de extensões. BRUSHLOGGER é um keylogger carregado lado a lado com DLL que captura sequências de teclas junto com o contexto da janela ativa e salva os logs em forma criptografada por XOR. Ambas as amostras de malware parecem ter um nível de sofisticação relativamente baixo e mostram sinais de desenvolvimento em andamento de tentativa e erro.

Investigação

Durante a investigação, os analistas recuperaram o executável backdoor paint.exe e o DLL de keylogger carregado lado a lado libcurl.dll, depois examinaram seus métodos de persistência, lógica de configuração, comportamento de propagação USB e diretórios de estagiamento de dados. Compilações de desenvolvimento mais antigas, como V1.exe, V2.exe e V4.exe, também foram encontradas no VirusTotal, onde estavam ligadas a uma infraestrutura de DNS dinâmica gratuita para comando e controle. O relatório também documentou as tarefas agendadas do malware, o mutex e as convenções de caminho de arquivo.

Mitigação

Os defensores devem impedir a execução de binários desconhecidos nos caminhos ProgramData e Público, monitorar a criação de tarefas agendadas nomeadas MSGraphics ou MSRecorder e detectar o mutex Windows-Updates-KB852654856. As organizações também devem desativar ou restringir o autorun de mídias removíveis e inspecionar nomes de arquivo do tipo isca suspeitos. O registro e a inspeção do tráfego WinHTTP para o domínio C2 identificado devem ser aplicados.

Resposta

Se for detectada atividade do BRUSHWORM ou BRUSHLOGGER, isole o endpoint, preserve as amostras paint.exe e libcurl.dll, capture evidências de tarefas agendadas e remova arquivos maliciosos de todos os diretórios de usuários e públicos. Os investigadores também devem examinar unidades removíveis em busca de binários do tipo isca, excluir a pasta de exfiltração preparada, redefinir credenciais afetadas e monitorar qualquer recuperação adicional de carga útil do servidor C2.

"graph TB %% Class definitions section classDef technique fill:#cfe2f3 %% Node definitions exec_check["Técnica – T1497.002 Evasão de Virtualização/Sandbox: Verifica atividade do usuário, resolução de tela, nome de usuário, nome do computador, strings de CPUID do hipervisor e movimentos do mouse para abortar em ambientes de análise."] class exec_check technique persistence_task["Técnica – T1053 Tarefa Agendada/Job: Cria uma tarefa agendada no Windows chamada MSGraphics que executa o backdoor a cada logon do usuário."] class persistence_task technique c2_contact["Técnica – T1071 Protocolo de Camada de Aplicação: O backdoor contata seu servidor C2 sobre HTTPS usando WinHTTP."] class c2_contact technique encrypted_channel["Técnica – T1573 Canal Criptografado: Estabelece um canal criptografado para baixar módulos adicionais."] class encrypted_channel technique shared_module["Técnica – T1129 Módulos Compartilhados: Baixa uma carga de DLL (Recorder.dll) do servidor C2."] class shared_module technique second_task["Técnica – T1053 Tarefa Agendada/Job: Cria uma segunda tarefa agendada que inicia Recorder.dll via rundll32.exe."] class second_task technique dll_side["Técnica – T1574.001 Carregamento Lateral de DLL: A libcurl.dll maliciosa é carregada lateralmente para sequestrar o fluxo de execução."] class dll_side technique keylogging["Técnica – T1056.001 Keylogging: DllMain instala um hook de teclado de baixo nível para capturar teclas digitadas, títulos de janelas e timestamps."] class keylogging technique obfuscation["Técnica – T1027 Arquivos ou Informações Ofuscados: Arquivos de log são criptografados por XOR; dados de configuração são escritos em texto claro e depois deletados."] class obfuscation technique local_staging["Técnica – T1074.001 Estagiamento Local de Dados: Arquivos coletados são copiados para C:UsersPublicSysteminfo e um log de hash é mantido para evitar exfiltração duplicada."] class local_staging technique usb_propagation["Técnica – T1092 Comunicação Através de Mídia Removível: Quando a Internet é acessível, o malware se copia para unidades USB anexadas usando nomes de arquivos do tipo isca."] class usb_propagation technique usb_data_exfil["Técnica – T1025 Dados de Mídia Removível: Continua o roubo de arquivos das unidades USB."] class usb_data_exfil technique physical_exfil["Técnica – T1052.001 Exfiltração Por Meio Físico: Se não houver Internet, arquivos roubados são copiados para mídia removível para exfiltração física."] class physical_exfil technique %% Connections showing flow exec_check –>|aciona| persistence_task persistence_task –>|executa| c2_contact c2_contact –>|estabelece| encrypted_channel c2_contact –>|baixa| shared_module shared_module –>|cria| second_task second_task –>|inicia| dll_side dll_side –>|carrega| keylogging keylogging –>|produz| obfuscation obfuscation –>|armazena| local_staging local_staging –>|copia para| usb_propagation usb_propagation –>|exfiltra de| usb_data_exfil local_staging –>|usa para| physical_exfil "

Fluxo de Ataque

Narrativa e Comandos de Ataque:
Um atacante obteve um DLL malicioso (evil.dll) que, quando executado via rundll32.exe, solta uma carga de ransomware e grava dados criptografados em uma unidade USB. Para evitar suspeitas, o atacante usa primeiro paint.exe para criar uma imagem de aparência inofensiva na mídia removível, depois usa rundll32.exe para carregar o DLL malicioso escondido no mesmo diretório. Ambas as ações geram eventos de criação de processo que correspondem à regra Sigma.

Script de Teste de Regressão:

# ------------------------------
# Simulação de abuso de Paint + Rundll32
# ------------------------------

# 1. Criar um diretório de trabalho temporário
$workDir = "$env:TEMPPaintRundllSim"
New-Item -ItemType Directory -Path $workDir -Force | Out-Null

# 2. Copiar uma imagem legítima para o USB (simulado por $workDir)
$imagePath = Join-Path $workDir "innocent.png"
Invoke-WebRequest -Uri "https://via.placeholder.com/150" -OutFile $imagePath

# 3. Iniciar o Paint para abrir a imagem (uso benigno – ainda corresponde à regra)
Start-Process -FilePath "$env:WINDIRsystem32mspaint.exe" -ArgumentList "`"$imagePath`"" -PassThru | Out-Null

# 4. Soltar um DLL malicioso (simulado; carga real seria oculta)
$dllPath = Join-Path $workDir "evil.dll"
$dllBytes = [byte[]] (0x4D,0x5A,0x90,0x00) # Cabeçalho PE mínimo de exemplo
[IO.File]::WriteAllBytes($dllPath, $dllBytes)

# 5. Executar o DLL via Rundll32 (este é o passo malicioso)
Start-Process -FilePath "$env:WINDIRsystem32rundll32.exe" `
             -ArgumentList "`"$dllPath`,EntryPoint`"" -PassThru | Out-Null

# 6. Pausar para permitir a ingestão em SIEM
Write-Host "Simulação executada. Aguardar ~30s para logs aparecerem em SIEM."

Comandos de Limpeza:

# Remover arquivos temporários e processos
Stop-Process -Name mspaint -ErrorAction SilentlyContinue
Stop-Process -Name rundll32 -ErrorAction SilentlyContinue
Remove-Item -Path "$env:TEMPPaintRundllSim" -Recurse -Force
Write-Host "Limpeza concluída."

Junte-se à plataforma Detection as Code da SOC Prime para melhorar a visibilidade das ameaças mais relevantes para o seu negócio. Para ajudá-lo a começar e gerar valor imediato, agende uma reunião agora com os especialistas da SOC Prime.

Cadastre-se Gratuitamente