Ataques de Ransomware Makop em Empresas Indianas: Entrega GuLoader e Escalonamento de Privilegios

Resumo

O ransomware Makop, uma variante da família Phobos, está atacando organizações ao abusar de serviços RDP (Remote Desktop Protocol) expostos e usando utilitários prontos para descoberta, movimento lateral e escalonamento de privilégios. A campanha incorpora novos elementos, incluindo o downloader GuLoader e várias explorações de escalonamento de privilégios locais. Os adversários implantam o binário de ransomware em diretórios de usuários sob nomes de arquivos enganosos. A ameaça tem como alvo principal empresas indianas, com atividade também observada no Brasil e na Alemanha.

Investigação

A Unidade de Pesquisa de Ameaças da Acronis examinou casos recentes de Makop e mapeou uma cadeia de ataque repetível que começa com tentativas de força bruta no RDP, depois prossegue para varredura de rede, extração de credenciais e a execução de várias explorações de elevação de privilégio baseadas em CVE. Foi observado que o GuLoader entregou cargas subsequentes como AgentTesla e FormBook. Os investigadores também documentaram as ferramentas de eliminação de antivírus, drivers vulneráveis e desinstaladores personalizados usados para neutralizar soluções de segurança.

Mitigação

As defesas recomendadas incluem a aplicação de autenticação multifator no RDP, eliminação de quaisquer endpoints RDP expostos à internet, aplicação de patches para todos os CVEs referenciados, monitoramento dos binários conhecidos de loader e utilitários de eliminação de antivírus, e uso de detecção de endpoint para bloquear a execução de scripts suspeitos. Manter as assinaturas do Windows Defender atualizadas e restringir o uso de drivers não assinados ou não confiáveis reduz ainda mais a exposição às técnicas observadas.

Resposta

Uma vez detectada a atividade, isole imediatamente o host impactado, termine os processos do GuLoader ou de downloaders suspeitos e capture a memória volátil para análise. Realize uma revisão abrangente de possível extração de credenciais, bloqueie hashes e nomes de arquivos maliciosos conhecidos, e remedeie os CVEs explorados. Quando viável, restaure dados criptografados a partir de backups verificados e alerte as equipes apropriadas de resposta a incidentes e gerenciamento.

Execução da Simulação

Pré-requisito: O Cheque Pré-voo de Telemetria e Linha de Base deve ter sido aprovado.

Justificação: Esta seção detalha a execução precisa da técnica do adversário (TTP) projetada para acionar a regra de detecção. Os comandos e a narrativa DEVEM refletir diretamente os TTPs identificados e visam gerar a telemetria exata esperada pela lógica de detecção.

• Comandos & Narrativa do Ataque:

  1. Preparação: O atacante obtém uma versão maliciosa de ThrottleStop.sys que é instrumentada para explorar o CVE‑2025‑7771 para elevação de privilégio.
  2. Implantação: O driver é copiado para o diretório de drivers do sistema (C:WindowsSystem32drivers).
  3. Execução: Usando sc.exe, o atacante cria e inicia um serviço que carrega o driver malicioso, elevando assim o processo ao nível de SISTEMA.
  4. Pós-elevação: Com o token elevado, o atacante pode personificar contas de alto privilégio (T1134.005), mas esse passo está fora do escopo desta regra.

• Script de Teste de Regressão:

  # ----------------------------------------------------------------
  # Simulação de exploração do ThrottleStop.sys (CVE-2025-7771)
  # ----------------------------------------------------------------
  $driverPath = "$env:SystemRootSystem32driversThrottleStop.sys"
  
  # 1. Soltar o driver malicioso (aqui usamos uma cópia de espaço reservado)
  Write-Host "[*] Copiando ThrottleStop.sys malicioso para $driverPath"
  # Em um teste real, substitua a origem pelo binário malicioso real
  Copy-Item -Path ".malicious_ThrottleStop.sys" -Destination $driverPath -Force
  
  # 2. Registrar o driver como um serviço de kernel
  Write-Host "[*] Criando serviço para o driver"
  sc.exe create ThrottleStopSvc binPath= "$driverPath" type= kernel start= demand | Out-Null
  
  # 3. Iniciar o driver (aciona o Sysmon ImageLoad)
  Write-Host "[*] Iniciando o serviço do driver"
  sc.exe start ThrottleStopSvc | Out-Null
  
  Write-Host "[+] Driver carregado – deve acionar a regra de detecção."
  # ----------------------------------------------------------------

• Comandos de Limpeza:

  # Parar e deletar o serviço de driver malicioso
  sc.exe stop ThrottleStopSvc | Out-Null
  sc.exe delete ThrottleStopSvc | Out-Null
  
  # Remover o arquivo do driver
  Remove-Item -Path "$env:SystemRootSystem32driversThrottleStop.sys" -Force
  
  Write-Host "[*] Limpeza completa."