Cadeia de Infecção do Qilin EDR Killer

Resumo

O relatório abrange um carregador multiestágio entregue como um msimg32.dll trojanizado, que pode desativar ou remover mais de 300 produtos de detecção e resposta de endpoints. O carregador combina abuso avançado de SEH/VEH, técnicas de driver de kernel e breakpoints de hardware para evadir hooks em modo de usuário e eliminar processos de segurança. A atividade está vinculada ao ecossistema de ransomware Qilin e inclui um driver personalizado derivado da ferramenta ThrottleStop. O resultado final é uma carga útil dedicada para eliminar EDRs que termina serviços de segurança e pode reativar o controle do invasor restaurando ou neutralizando a lógica de callback de integridade de código.

Investigação

Pesquisadores fizeram engenharia reversa do DLL malicioso, seu carregador PE e dois drivers auxiliares, rwdrv.sys e hlpdrv.sys. A análise detalha como o carregador constrói uma tabela de política de slot de syscall, manipula o despachante de exceções e realiza o hook do IAT para redirecionar a execução. Em seguida, utiliza o manuseio de exceções vetorizadas para preparar e lançar uma carga útil baseada em shell32. A camada do driver expõe acesso bruto à memória física e é utilizada para remover ou desativar callbacks de kernel relacionados a EDR, bem como terminar processos protegidos por meio de uma interface IOCTL personalizada.

Mitigação

Use defesas em camadas e evite depender de um único controle EDR. Monitore atividades anormais de carregamento de drivers, uso suspeito de IOCTL de memória física e mudanças inesperadas em estruturas de callback de kernel. Prevenha carregamento lateral de DLLs onde atacantes substituem bibliotecas do sistema legítimas, e adicione cobertura para evasão do tipo de breakpoint de hardware. Mantenha assinaturas de rede e endpoint atualizadas, incluindo conjuntos de regras de ferramentas como ClamAV e Snort.

Resposta

Se detectado, isole o endpoint, pare o processo malicioso e descarregue drivers suspeitos. Capture imagens completas de memória para perícia, verifique explicitamente por rwdrv.sys e hlpdrv.sys, e valide a integridade dos callbacks de kernel e a telemetria de segurança relacionada. Implante detecções atualizadas para o nome de arquivo msimg32.dll, eventos de carregamento do driver, e o padrão IOCTL 0x2222008. Complete uma revisão de integridade do sistema e recupere de backups confiáveis se a confiança no host não puder ser restabelecida.

Execução de Simulação

Pré-requisito: A Verificação Pré-voo de Telemetria & Linha de Base deve ter sido aprovada.

Racionalização: Esta seção detalha a execução precisa da técnica do adversário (TTP) projetada para acionar a regra de detecção. Os comandos e a narrativa DEVEM refletir diretamente os TTPs identificados e objetivam gerar a telemetria exata esperada pela lógica de detecção.

• Narração & Comandos do Ataque:

  Um atacante cria um binário C nativo mínimo que carrega explicitamente ntdll.dll e chama NtTraceEvent via seu nome exportado. O binário é compilado no host de destino usando as Ferramentas de Compilação do Visual C++, então executado. Como a chamada é feita através da superfície regular da API do Windows, o evento de criação do processo registra a imagem (ntdll.dll) e o CallTrace campo contém a string “NtTraceEvent”, satisfazendo a condição Sigma. O atacante então exclui o binário para reduzir os artefatos forenses.

• Script de Teste de Regressão:

  # ---------------------------------------------------------
  # Passo 1 – Crie uma fonte C temporária que chama NtTraceEvent
  # ---------------------------------------------------------
  $src = @"
  #include <windows.h>
  typedef NTSTATUS (NTAPI *pNtTraceEvent)(HANDLE, ULONG, PVOID, ULONG);
  int main() {
      HMODULE hNtdll = LoadLibraryA("ntdll.dll");
      if (!hNtdll) return 1;
      pNtTraceEvent NtTraceEvent = (pNtTraceEvent)GetProcAddress(hNtdll, "NtTraceEvent");
      if (!NtTraceEvent) return 1;
      // Chamada mínima – os argumentos são amplamente ignorados para esta demonstração
      NtTraceEvent(NULL, 0, NULL, 0);
      return 0;
  }
  "@
  $tmpPath = "$env:TEMPNtTraceDemo.c"
  $exePath = "$env:TEMPNtTraceDemo.exe"
  $src | Set-Content -Path $tmpPath -Encoding ASCII
  
  # ---------------------------------------------------------
  # Passo 2 – Compile usando cl.exe (presume que Ferramentas de Compilação do Visual C++ estejam instaladas)
  # ---------------------------------------------------------
  $vcVars = "$env:ProgramFiles(x86)Microsoft Visual Studio2019BuildToolsVCAuxiliaryBuildvcvars64.bat"
  if (Test-Path $vcVars) {
      & cmd /c "`"$vcVars`" && cl /nologo /O2 /Fe:`"$exePath`" `"$tmpPath`""
  } else {
      Write-Error "Ferramentas de Compilação do Visual C++ não encontradas. Instale-as antes de executar este script."
      exit 1
  }
  
  # ---------------------------------------------------------
  # Passo 3 – Execute o binário (isso deve acionar a regra)
  # ---------------------------------------------------------
  & $exePath
  
  # ---------------------------------------------------------
  # Passo 4 – Limpar artefatos
  # ---------------------------------------------------------
  Remove-Item -Force $tmpPath, $exePath

• Comandos de Limpeza:

  # Certifique-se de que quaisquer arquivos remanescentes sejam removidos (execute como admin)
  Get-ChildItem "$env:TEMPNtTraceDemo.*" -ErrorAction SilentlyContinue | Remove-Item -Force