DonutLoader Recarregado em uma Campanha Moderna de Remcos RAT

Resumo

G DATA identificou uma nova campanha Remcos RAT que começa com um arquivo batch malicioso e percorre várias camadas de script, incluindo PowerShell, VBScript e AutoIt, para recuperar e lançar um payload de shellcode DonutLoader. O carregador injeta finalmente o Remcos RAT na binário legítima do Windows colorcpl.exe. Ao longo da cadeia, os atacantes confiam em ferramentas confiáveis como 7-Zip, armazenamento pCloud e múltiplos LOLBins para fazer a atividade parecer rotineira. O uso de shellcode gerado por Donut para injeção de processo marca uma evolução notável na entrega moderna de Remcos.

Investigação

Pesquisadores seguiram todo o caminho de infecção a partir de um anexo de phishing chamado Bestellung.CMD, que lançou cscript.exe para executar um proxy VBScript que decodificou um comando PowerShell codificado em Base64. Esse estágio do PowerShell baixou utilitários do 7-Zip e um arquivo protegido por senha do pCloud, depois descompactou um arquivo JScript que deixou cair um interpretador AutoIt e um PNG falso transportando conteúdo de payload adicional. O componente AutoIt descriptografou dados obfuscados por XOR, reconstruiu o shellcode DonutLoader e o injetou em colorcpl.exe, onde a versão 7.2.1 Pro do Remcos RAT foi executada.

Mitigação

Os defensores devem observar o uso suspeito de cscript.exe, SyncAppvPublishingServer.vbs, e comandos PowerShell IEX contendo conteúdo codificado em Base64, especialmente quando esses processos se originam de arquivos batch. A detecção também deve cobrir aparições inesperadas de 7z.exe and 7z.dll em diretórios de usuário, juntamente com binários AutoIt não autorizados. As proteções baseadas em comportamento devem ser ajustadas para identificar a injeção de processo em colorcpl.exe e atividade consistente com shellcode gerado por Donut.

Resposta

Se esta atividade for detectada, isole o sistema afetado imediatamente, termine os processos suspeitos e capture a memória para análise de shellcode. Os investigadores devem revisar arquivos deixados e quaisquer artefatos excluídos para reconstruir toda a cadeia de execução, enquanto bloqueiam a comunicação com a infraestrutura de comando e controle identificada. A remediação deve incluir a remoção do Remcos RAT e a limpeza de quaisquer utilitários legítimos abusados envolvidos no ataque.

Execução de Simulação

Pré-requisito: O Teste de Pré-voo de Telemetria & Baseline deve ter passado.

Justificativa: Esta seção detalha a execução precisa da técnica do adversário (TTP) projetada para acionar a regra de detecção. Os comandos e a narrativa DEVEM refletir diretamente os TTPs identificados e visam gerar a telemetria exata esperada pela lógica de detecção.

• Narrativa e Comandos do Ataque:
  O adversário obteve um payload malicioso do PowerShell (por exemplo, um downloader) que foi codificado em Base64 para evadir a detecção estática. Para ficar sob o radar, o atacante escolhe um módulo assinado e embutido—AppvClient—que é comumente presente em sistemas Windows. Eles importam o módulo e, em seguida, usam Invoke‑Expression (IEX) para decodificar e executar o payload inteiramente na memória, sem deixar artefatos de arquivo. Esta linha de comando exata (Import-Module AppvClient; IEX <Base64String>) corresponde à condição da regra Sigma.

• Script de Teste de Regressão:

  <#
  Script de simulação para acionar a regra de detecção "PowerShell IEX com AppvClient".
  #>
  
  # 1. Importe o módulo legítimo (execução de proxy binário assinado)
  Import-Module AppvClient -ErrorAction Stop
  
  # 2. Prepare um payload simples e benigno em PowerShell e codifique em Base64
  $payload = "Write-Host 'Compromise simulated – payload executed.'"
  $bytes   = [System.Text.Encoding]::Unicode.GetBytes($payload)
  $b64     = [System.Convert]::ToBase64String($bytes)
  
  # 3. Execute o payload na memória usando IEX (o gatilho de detecção)
  IEX ([System.Text.Encoding]::Unicode.GetString([System.Convert]::FromBase64String($b64)))
  
  # 4. Opcional: mantenha a sessão ativa brevemente para garantir que os logs sejam transmitidos
  Start-Sleep -Seconds 5

• Comandos de Limpeza:

  # Remova o módulo importado para reduzir a pegada
  if (Get-Module -Name AppvClient) {
      Remove-Module -Name AppvClient -Force
  }
  
  # Limpe o histórico do PowerShell para a sessão atual
  Clear-History