Grupo de Ameaça Handala: Táticas, Alvos e Linha do Tempo de Ataques

SOC Prime Team

Seguir

Grupo de Ameaça Handala: Táticas, Alvos e Linha do Tempo de Ataques

Detection stack

AIDR
Alert
ETL
Query

Relatório de Ameaça
Fluxo de Ataque
Detecções
Simulações

Resumo

Handala é um grupo hacktivista ligado ao Irã que realiza operações cibernéticas destrutivas. O grupo utiliza cadeias de ataque em múltiplas fases que combinam phishing, carregadores baseados em AutoIT e malware destruidor. Suas campanhas são principalmente direcionadas para causar interrupções e destruir dados em alvos de infraestrutura de Israel, EUA e da região.

Investigação

O relatório descreve a mudança do Handala de atividades hacktivistas tradicionais para operações mais avançadas e destrutivas. Examina o uso do grupo de técnicas BYOVD para escalonamento de privilégios e o seu lançamento de cargas destrutivas tanto em ambientes Windows quanto Linux. A análise técnica também cobre a atividade de comando e controle através do Telegram e os métodos de ofuscação incorporados em scripts de lote.

Mitigação

As organizações devem aplicar filtragem rigorosa de e-mails para bloquear anexos maliciosos e downloads suspeitos baseados em ZIP. Limitar o uso de drivers vulneráveis ou não autorizados pode reduzir o risco de abuso de BYOVD, enquanto monitorar a execução não autorizada de AutoIT pode ajudar a detectar atividades em estágio inicial. As defesas de endpoint também devem ser ajustadas para identificar substituições rápidas de arquivos e comportamentos de formatação de disco não autorizados.

Resposta

Se forem detectadas atividades relacionadas ao Handala, os hosts afetados devem ser isolados imediatamente para interromper a propagação do malware destruidor. Investigadores devem realizar análises de memória para identificar shellcode injetado e revisar sistemas quanto ao carregamento não autorizado de drivers. Os logs de e-mail também devem ser analisados para determinar o escopo da campanha de phishing, e quaisquer credenciais comprometidas devem ser rotacionadas sem demora.

"graph TB %% Class Definitions classDef initial_access fill:#f9f,stroke:#333,stroke-width:2px classDef execution fill:#bbf,stroke:#333,stroke-width:2px classDef privilege_escalation fill:#fbb,stroke:#333,stroke-width:2px classDef defense_evasion fill:#bfb,stroke:#333,stroke-width:2px classDef discovery fill:#fff4dd,stroke:#333,stroke-width:2px classDef command_and_control fill:#d4f1f9,stroke:#333,stroke-width:2px classDef impact fill:#ffcccb,stroke:#333,stroke-width:2px %% Initial Access Stage action_phishing["Acao – Phishing: Anexo de Spearphishing Descricao: E-mails enganosos contendo anexos PDF maliciosos ou arquivos ZIP. Exemplos: update.zip, F5UPDATER.EXE"] class action_phishing initial_access %% Execution Stage action_execution["Acao – Interpretador de Comando e Script Descricao: Utilizando executáveis NSIS e scripts AutoIT compilados para carregar shellcode."] class action_execution execution %% Privilege Escalation Stage action_priv_esc["Acao – Explotacao para Escalacao de Privilegios Descricao: Usando o mecanismo de Leve Seu Próprio Driver Vulnerável (BYOVD) para acessar a memória do kernel."] tool_vulnerable_driver["Ferramenta – ListOpenedFileDrv_32.sys Descricao: Um driver usado para ganhar maiores níveis de controle sobre o sistema."] class action_priv_esc privilege_escalation class tool_vulnerable_driver privilege_escalation %% Defense Evasion Stage action_evasion["Acao – Arquivos ou Informações Ofuscados: Inserção de Código de Lixo Descricao: Inserindo comandos inválidos de lixo em scripts de lote para confundir analistas."] class action_evasion defense_evasion %% Discovery Stage action_discovery["Acao – Descoberta de Informações do Sistema Descricao: Coletando nomes de host, informações do domínio, e detalhes de usuários."] class action_discovery discovery %% Command and Control Stage action_cnc["Acao – Serviço Web: Telegram Descricao: Utilizando canais do Telegram com IDs de Bot e Channel embarcados para comunicação."] class action_cnc command_and_control %% Impact Stage action_impact["Acao – Wipe de Disco: Apagamento de Conteúdo do Disco Descricao: Sobrescrevendo agressivamente arquivos-alvo com blocos de 4096 bytes aleatorizados ou zeros."] class action_impact impact %% Connections action_phishing –>|leads_to| action_execution action_execution –>|triggers| action_priv_esc action_priv_esc –>|utilizes| tool_vulnerable_driver action_execution –>|employs| action_evasion action_execution –>|performs| action_discovery action_discovery –>|establishes| action_cnc action_cnc –>|facilitates| action_impact "

Fluxo de Ataque

Narrativa e Comandos do Ataque: O atacante entregou com sucesso um instalador malicioso NSIS via um anexo de spearphishing. Após a execução, o motor NSIS é usado para executar um shell de comando oculto. O objetivo é soltar um script secundário (Carroll.cmd) no diretório de trabalho e executá-lo imediatamente sem interação do usuário. Para não chamar a atenção, o atacante usa SW_HIDE para evitar que uma janela de prompt de comando apareça na área de trabalho do usuário. Esta técnica utiliza software instalador legítimo para executar comandos arbitrários.

Script de Teste de Regressão:

# Script de Simulação: Imitando a execução da linha de comando NSIS
# Nota: Como estamos simulando a 'linha de comando' capturada pela regra, 
# vamos acionar uma criação de processo que imite a string específica detectada.

$MaliciousCommand = 'ExecShell open cmd "/k copy Carroll Carroll.cmd & Carroll.cmd & exit" SW_HIDE'

# Para simular a criação precisa do processo NSIS, chamamos cmd.exe 
# com a string como argumento para garantir que ela apareça na telemetria da linha de comando.
Start-Process "cmd.exe" -ArgumentList "/c echo $MaliciousCommand"

Write-Host "Comando de simulação executado. Verifique SIEM para: $MaliciousCommand"

Comandos de Limpeza:

# Remova quaisquer arquivos criados durante a simulação
Remove-Item -Path "$env:TEMPCarroll.cmd" -ErrorAction SilentlyContinue
Remove-Item -Path "$env:TEMPCarroll" -ErrorAction SilentlyContinue

Junte-se à plataforma Detection as Code da SOC Prime para melhorar a visibilidade das ameaças mais relevantes para o seu negócio. Para ajudá-lo a começar e gerar valor imediato, agende uma reunião agora com os especialistas da SOC Prime.

Proof of Value