De W-2 a BYOVD: Como uma busca por impostos leva ao kill de AV/EDR em modo de kernel

Resumo

Uma ampla operação de malvertising abusa do Google Ads atrelado a pesquisas de formulários fiscais para distribuir um instalador falso do ScreenConnect. Esse instalador implanta um crypter de múltiplos estágios, que então carrega um utilitário BYOVD chamado HwAudKiller. A ferramenta instala um driver de áudio da Huawei assinado e usa acesso ao nível do kernel para terminar processos de AV e EDR. Uma vez que os controles de segurança são desabilitados, os atacantes despejam credenciais do LSASS e coletam credenciais pela rede com o NetExec. A atividade destaca como a entrega de malware de commodities pode ser combinada com um driver de kernel personalizado para obter acesso furtivo, suprimir defesas e manter a persistência.

Investigação

Pesquisadores da Huntress seguiram o caminho de redirecionamento de anukitax.com to bringetax.com e confirmaram a entrega de um pacote MSI fraudulento do ScreenConnect. O crypteds.exe descartado usa um truque de alocação de memória de 2 GB para evasão e lança shellcode indiretamente através de timeSetEvent antes de carregar o HwAudKiller. Esse payload escreve Havoc.sys em %TEMP% e registra um serviço de kernel chamado Havoc para terminar uma lista codificada de processos de segurança. Em uma segunda intrusão, os atacantes ganharam acesso através de um comprometimento de VPN, reutilizaram o mesmo driver, expandiram a lista de eliminação para incluir processos do FortiEDR, despejaram o LSASS usando comsvcs.dll e moveram-se lateralmente com o NetExec.

Mitigação

As organizações devem bloquear ou permitir strictamente implantações legítimas do ScreenConnect e monitorar por nomes de host de instância de teste-* desconhecidos. As equipes de segurança devem observar drivers de kernel carregados de caminhos temporários e alertar sobre a Atividade de Instalação de Serviço do Windows e o Evento de Sysmon ID 6. Controles estritos de execução devem ser impostos em arquivos escritos em C:WindowsSystemTempScreenConnect e %TEMP%. Esforços de conscientização do usuário também devem reforçar que resultados de pesquisa do Google Ads não devem ser fontes confiáveis para downloads relacionados a impostos.

Resposta

Se um instalador do ScreenConnect desonesto for encontrado, isole imediatamente o endpoint, colete o crypteds.exe e qualquer driver Havoc.sys descartado e pare o serviço Havoc. Inicie procedimentos de reinicialização de credenciais para contas potencialmente comprometidas e revogue o acesso exposto. Em seguida, escaneie o ambiente mais amplo para conexões de retransmissão adicionais do ScreenConnect, execução do NetExec e sinais de despejo do LSASS. Finalmente, documente e compartilhe os IOCs descobertos com canais de inteligência de ameaças internos e externos.

Execução da Simulação

Pré-requisito: O Check de Pré-voo de Telemetria e de Linha de Base deve ter passado.

Justificativa: Esta seção detalha a execução precisa da técnica do adversário (TTP) projetada para acionar a regra de detecção. Os comandos e a narrativa DEVEM refletir diretamente os TTPs identificados e ter como objetivo gerar a telemetria exata esperada pela lógica de detecção.

• Narrativa e Comandos de Ataque:

  1. Acesso Inicial via Malvertising: A vítima clica em um anúncio malicioso ao procurar formulários fiscais, o que aciona um download drive-by de form_w9.msi.
  2. Instalação de Software Desonesto: O MSI instala silenciosamente uma ferramenta de suporte remoto semelhante ao ScreenConnect e descarta crypteds.exe and sent.exe para o %TEMP% diretório.
  3. Coleta de Credenciais: crypteds.exe é lançado para despejar Segredos LSA.
  4. DLL Side-Loading via Rundll32: Para evadir detecção estática, o invasor carrega uma DLL maliciosa usando rundll32.exe com a DLL do sistema comsvcs.dll como o ponto de entrada, que executará o payload embutido.

  Os comandos exatos (simulados em uma máquina de teste) são:

  # 1. Implantar o MSI malicioso (simulado)
  Start-Process -FilePath "C:Tempform_w9.msi" -ArgumentList "/quiet" -Wait
  
  # 2. Lançar a ferramenta de despejo de credenciais
  Start-Process -FilePath "$env:TEMPcrypteds.exe" -ArgumentList "/dump" -Wait
  
  # 3. Carregar o payload malicioso via rundll32 usando comsvcs.dll
  rundll32.exe "C:windowsSystem32comsvcs.dll",LaunchApplication "$env:TEMPsent.exe"

• Script de Teste de Regressão: O script abaixo automatiza as etapas acima e garante que a telemetria gerada corresponda às expectativas da regra de detecção.

  # Script de Teste de Regressão – Simula a Campanha de Malvertising
  # -----------------------------------------------------------
  # 0. Pré-requisito: Garantir que o Sysmon esteja rodando com o registro de linha de comando habilitado.
  
  # Variáveis
  $msiPath   = "$env:TEMPform_w9.msi"
  $dumpTool  = "$env:TEMPcrypteds.exe"
  $payload   = "$env:TEMPsent.exe"
  $dllPath   = "C:windowsSystem32comsvcs.dll"
  
  # Helper: Criar arquivos fictícios para imitar os binários maliciosos
  New-Item -Path $msiPath   -ItemType File -Force | Out-Null
  New-Item -Path $dumpTool  -ItemType File -Force | Out-Null
  New-Item -Path $payload   -ItemType File -Force | Out-Null
  
  Write-Host "[*] Instalando MSI malicioso (simulado)..."
  Start-Process -FilePath "msiexec.exe" -ArgumentList "/i `"$msiPath`" /quiet" -Wait
  
  Write-Host "[*] Executando ferramenta de despejo de credenciais..."
  Start-Process -FilePath $dumpTool -ArgumentList "/dump" -Wait
  
  Write-Host "[*] Performando DLL side-loading via rundll32..."
  rundll32.exe "`"$dllPath`"",LaunchApplication "`"$payload`""
  
  Write-Host "[+] Simulação completa. Verifique a detecção via o SIEM."

• Comandos de Limpeza: Remova os artefatos fictícios e pare quaisquer processos remanescentes.

  # Script de Limpeza
  $paths = @("$env:TEMPform_w9.msi","$env:TEMPcrypteds.exe","$env:TEMPsent.exe")
  foreach ($p in $paths) {
      if (Test-Path $p) { Remove-Item -Path $p -Force }
  }
  
  # Terminar quaisquer processos rundll32 remanescentes gerados pelo teste
  Get-Process -Name rundll32 -ErrorAction SilentlyContinue |
      Where-Object {$_.Path -eq "$env:SystemRootSystem32rundll32.exe"} |
      Stop-Process -Force