Campanha de Ataque Baseada em Driver PoisonX Alveja Organizações Japonesas

Resumo

Uma campanha observada em abril de 2026 utilizou e-mails de spear-phishing com arquivos LNK maliciosos ou downloads executáveis hospedados no Google Cloud Storage. A carga útil entregue instalou um driver de kernel chamado PoisonX juntamente com um RAT modular chamado 10FXRAT, permitindo que os atacantes ganhassem privilégios de nível de kernel, desativassem ferramentas de segurança e ocultassem atividades maliciosas. Variantes posteriores também adotaram táticas BYOVD através de drivers legítimos assinados como EneIo64.sys and procexp.sys. A atividade tem sido observada visando organizações no Japão e na China.

Investigação

O relatório percorre toda a cadeia de execução, começando com um downloader baseado em LNK que invoca curl.exe, depois passando para os componentes PXDropper que implementam o driver PoisonX e os módulos 10FXRAT. Ele também descreve as rotinas IOCTL baseadas em driver usadas para terminar processos relacionados à segurança e ocultar o tráfego de rede. Os pesquisadores documentaram verificações anti-análise, modificações de registro, criação de serviços e métodos de persistência, além de listar endereços IP de comando e controle codificados no programa associados à operação.

Mitigação

Os defensores devem monitorar atividades inesperadas de instalação de drivers, especialmente drivers que não são assinados ou são assinados de forma suspeita, e para criação de serviços com nomes de arquivos estilo HID randomizados. A detecção também deve cobrir mudanças no registro que adicionam exclusões do Microsoft Defender ou desativam serviços do Defender. O tráfego de saída para os intervalos de IP de comando e controle identificados deve ser bloqueado, e o monitoramento de rede deve procurar pelo valor mágico 0x58463031 em cargas úteis de TCP.

Resposta

Se esta atividade for detectada, isole o endpoint afetado imediatamente, descarregue o driver PoisonX quando possível, e termine todos os processos 10FXRAT. Restaure as configurações de registro alteradas, reative as proteções do Microsoft Defender e substitua arquivos modificados por versões limpas de fontes confiáveis. Uma investigação forense completa deve então ser realizada para identificar mecanismos de persistência e revisar o tráfego para os servidores de comando e controle conhecidos.

Execução de Simulação

Pré-requisito: A Verificação Prévia do Telemetria & Baseline deve ter passado.

Justificativa: Esta seção detalha a execução precisa da técnica adversária (TTP) projetada para acionar a regra de detecção. Os comandos e narrativas DEVEM refletir diretamente os TTPs identificados e visam gerar a telemetria exata esperada pela lógica de detecção.

• Narrativa & Comandos de Ataque:
  O atacante primeiro injeta uma carga útil de shellcode personalizada em usoclient64.exe para obter um ponto de apoio de processo confiável (T1574.009). Com o processo sequestrado, eles executam um one-liner do PowerShell que adiciona a pasta de carga útil maliciosa à lista de exclusão do Windows Defender (T1564.012). Finalmente, eles desativam serviços de segurança principais usando uma chamada encadeada cmd.exe que para o Windows Defender, o Windows Security Center e qualquer AV de terceiros (T1547.001 persistência via interrupção de serviço).

  1. Hollowing/Injeção de Processo – simular lançando usoclient64.exe com um script PowerShell que permanece inativo (representa código injetado).
  2. Adicionar Exclusão do Defender – comando PowerShell que corresponde exatamente à string da regra.
  3. Parar Serviços de Segurança – cmd.exe one-liner que para os serviços.

• Script de Teste de Regressão:

  # -------------------------------------------------------------------------
  #  Script de Simulação – aciona a regra Sigma para comportamento semelhante ao 10FXRAT
  # -------------------------------------------------------------------------
  
  # 1. Simular injeção de usoclient64.exe (hollowing de processo como placeholder)
  $usoclient = "$env:SystemRootSystem32usoclient64.exe"
  Write-Host "[*] Iniciando usoclient64.exe (injeção simulada)..."
  Start-Process -FilePath $usoclient -ArgumentList "/RunDll32" -WindowStyle Hidden
  
  # 2. Comando PowerShell que adiciona uma exclusão do Defender (corresponde à regra)
  Write-Host "[*] Adicionando caminho de exclusão do Windows Defender..."
  powershell.exe -NoP -NonI -W Hidden -C "Add-MpPreference -ExclusionPath 'C:TempMalicious'"
  
  # 3. Desativar serviços de segurança via cmd (corresponde à regra)
  Write-Host "[*] Parando serviços de segurança..."
  cmd.exe /c "net stop WinDefend /y >nul 2>&1 & net stop wscsvc /y >nul 2>&1 & net stop Sense /y >nul 2>&1"
  
  Write-Host "[+] Simulação completa. Verifique alertas no SIEM."

• Comandos de Limpeza:

  # -------------------------------------------------------------------------
  #  Limpeza – restaura a postura normal de segurança
  # -------------------------------------------------------------------------
  
  # Remove a exclusão do Defender
  powershell.exe -NoP -NonI -W Hidden -C "Remove-MpPreference -ExclusionPath 'C:TempMalicious'"
  
  # Reinicia serviços parados
  cmd.exe /c "net start WinDefend >nul 2>&1 & net start wscsvc >nul 2>&1 & net start Sense >nul 2>&1"
  
  # Opcionalmente, mate a instância injetada de usoclient64.exe
  Get-Process -Name usoclient64 -ErrorAction SilentlyContinue | Stop-Process -Force
  
  Write-Host "[+] Limpeza concluída."