BotHelper RAT Fornece Cargas Úteis Criptografadas para Vigilância de Tela ao Vivo

Resumo

Uma cadeia de infecção multi-estágio no Windows utiliza um gerenciador nativo para recuperar uma carga útil criptografada que, por fim, implanta uma ferramenta de acesso remoto .NET, até então não documentada, chamada BotHelper RAT. O RAT oferece suporte a vigilância de tela ao vivo, monitoramento da área de transferência, execução de comandos de shell e entrega adicional de plugins. O ataque é projetado para ser furtivo através de descriptografia na memória e disfarce como processos legítimos do Microsoft Edge.

Investigação

Point Wild analisou a cadeia de infecção e identificou um gerenciador nativo x64 que perfila o host antes de baixar um arquivo criptografado de uma URL designada. A investigação descobriu que o gerenciador desativa a validação de certificado TLS e descriptografa a carga útil da próxima fase inteiramente na memória para reduzir a detecção baseada em disco. BotHelper RAT então estabelece persistência através de tarefas agendadas e modifica a Interface de Verificação Antimalware (AMSI).

Mitigação

A mitigação deve priorizar o bloqueio do gerenciador inicial e da infraestrutura C2 associada. Os controles de segurança devem detectar a criação não autorizada de tarefas agendadas e o disfarce de processos suspeitos, incluindo instâncias de msedge_proxy.exe executando a partir do diretório Temp. As organizações também devem monitorar tentativas de modificação do AMSI e conexões TLS de saída incomuns para domínios anteriormente desconhecidos ou não confiáveis.

Resposta

Quando a atividade do BotHelper RAT é detectada, isole o endpoint afetado para interromper a execução de comandos adicionais e a exfiltração de dados. Remova tarefas agendadas maliciosas e arquivos descartados do diretório temporário do usuário. Realize análise forense de memória para identificar componentes adicionais na memória e investigue por evidências de roubo de área de transferência, monitoramento de tela ao vivo ou capturas de tela.

Execução de Simulação

• Narrativa & Comandos do Ataque: O atacante obteve acesso inicial e agora busca manter uma base. Para evadir a detecção por ferramentas de segurança que buscam por “beacons sempre ativos”, eles decidem usar a schtasks.exe utilidade para agendar uma carga útil maliciosa. Seguindo o padrão do BotHelper RAT, eles configuram a tarefa para acionar a cada 30 minutos. Isso permite que o malware “durma” a maior parte do tempo, reduzindo a pegada no tráfego de rede e no monitoramento de processos, enquanto assegura que a conexão com o servidor C2 seja restabelecida com frequência.

• Script de Teste de Regressão:

  # Script de simulação para imitar o mecanismo de persistência do BotHelper RAT
  $taskName = "BotHelperUpdater"
  $payload = "C:WindowsSystem32calc.exe" # Usando calc.exe como um proxy seguro para a carga útil do RAT
  
  Write-Host "[+] Simulando persistência do BotHelper RAT..."
  # Este comando é projetado para corresponder à lógica de detecção: /create, /sc, and MINUTE=30
  schtasks /create /tn "$taskName" /tr "$payload" /sc minute /mo 30 /f
  
  if ($LASTEXITCODE -eq 0) {
      Write-Host "[SUCESSO] Tarefa criada. Verifique o SIEM para detecção."
  } else {
      Write-Host "[FALHA] Falha ao criar a tarefa."
  }

• Comandos de Limpeza:

  # Remova a tarefa de persistência simulada
  schtasks /delete /tn "BotHelperUpdater" /f
  Write-Host "[+] Limpeza completa. Tarefa simulada removida."