Caça de Malware Revela um Carregador de Rootkit Universal Furtivo

Resumo

Um novo carregador de rootkit assinado pela Microsoft permite que invasores implantem módulos do kernel não assinados em sistemas comprometidos. O malware usa um driver de primeira etapa para se comunicar com a infraestrutura de C2 e carregar plug-ins de segunda etapa diretamente na memória. Este modelo de execução furtivo ajuda a contornar a detecção com base em disco, mantendo acesso de nível kernel altamente privilegiado.

Investigação

Pesquisadores identificaram um conjunto de drivers assinados que abusam do Programa de Compatibilidade de Hardware da Windows (WHCP) para obter assinaturas legítimas da Microsoft. A investigação revelou um modelo de execução em duas etapas no qual um carregador assinado gerencia a injeção de drivers de kernel personalizados e não assinados. Análises de código e infraestrutura também revelaram semelhanças com o rootkit FiveSys previamente documentado.

Mitigação

As organizações devem monitorar carregamentos suspeitos ou não autorizados de drivers em modo kernel e modificações inesperadas no registro que afetam serviços de segurança. Implantar detecção de endpoint capaz de identificar carregamentos de módulos apenas na memória é crítico para detectar esta atividade. Limitar o uso de drivers assinados pelo WHCP de fornecedores desconhecidos ou não confiáveis pode reduzir ainda mais a exposição.

Resposta

Quando esta atividade é detectada, isole os sistemas afetados para interromper a comunicação de C2 e impedir o movimento lateral. Realize análises forenses de memória para identificar módulos de kernel injetados que podem nunca ser escritos em disco. Revise a integridade do registro, com atenção especial às Opções de Execução de Arquivo de Imagem e alterações não autorizadas nas políticas de segurança.

Execução de Simulação

• Narrativa & Comandos do Ataque: O adversário pretende implantar um componente de rootkit que mascara sua presença ao se comunicar com um driver malicioso. Para contornar a detecção tradicional baseada em arquivos, o invasor utiliza uma abordagem “Living-off-the-Land”, usando um script PowerShell para interagir com um driver que foi carregado adicionalmente no kernel. O script tem como alvo especificamente o IRP_MJ_DEVICE_CONTROL manejador enviando um código IOCTL (Controle de Entrada/Saída) elaborado, imitando o padrão de comunicação do carregador de rootkit identificado para estabelecer um canal de comando e controle e desabilitar recursos de segurança.

• Script de Teste de Regressão:

  # Script de simulação para imitar a comunicação do driver do carregador de rootkit
  # Nota: Isso requer um driver presente que responda a esses padrões específicos
  # ou simula as chamadas de manipulador IRP via um driver simulado.
  
  $SymbolicName = "x1cx1c??x1ceae971b87"
  Write-Host "[+] Simulando interação de driver com Nome Simbólico: $SymbolicName"
  
  # Em um cenário real, isso envolveria chamar DeviceIoControl via P/Invoke
  # Para finalidades de simulação/teste, simulamos o gatilho da telemetria
  $signature = @{
      SymbolicName = "x1cx1c??x1ceae971b87"
      IOControlHandler = "IRP_MJ_DEVICE_CONTROL"
      ShutdownHandler = "IRP_MJ_SHUTDOWN"
  }
  
  Write-Host "[+] Enviando IOCTL elaborado para acionar a detecção..."
  # Lógica para simular a geração de evento no kernel para o Nome Simbólico específico
  # Esta parte é conceitual para o agente BAS disparar a entrada de log específica
  New-EventLog -LogName "Microsoft-Windows-Sysmon" -Source "Sysmon" # Simulação de gatilho

• Comandos de Limpeza:

  # Remover quaisquer arquivos temporários ou artefatos de driver simulados
  Remove-Item -Path "$env:TEMProotkit_sim.tmp" -ErrorAction SilentlyContinue
  Write-Host "[+] Limpeza concluída."