Komari: A Ferramenta de “Monitoramento” Que Não Precisava Ser Armada

Ruslan Mikhalov Chefe de Pesquisa de Ameaças na SOC Prime

Seguir

Komari: A Ferramenta de “Monitoramento” Que Não Precisava Ser Armada

Detection stack

AIDR
Alert
ETL
Query

Relatório de Ameaça
Fluxo de Ataque
Detecções
Simulações

Resumo

Um ator de ameaça usou credenciais de VPN roubadas para acessar uma estação de trabalho Windows de um parceiro da Huntress, então habilitou RDP e implantou o agente de monitoramento de código aberto Komari como um serviço de nível SYSTEM disfarçado como Serviço de Atualização do Windows através do NSSM. Uma vez instalado, o agente estabeleceu uma conexão WebSocket persistente com uma infraestrutura controlada pelo invasor e forneceu capacidades como execução de comandos, acesso ao terminal e ping estilo batimento cardíaco. Na prática, a ferramenta funcionou como uma estrutura leve de comando e controle sem exigir armamento adicional.

Investigação

A intrusão começou com um login de VPN SSL originado de 45.153.34.132, seguido pelo uso do smbexec.py do Impacket para habilitar RDP e executar uma série de comandos remotos. Os investigadores descobriram que um comando PowerShell baixava o instalador do Komari diretamente do GitHub e o registrava como um serviço do Windows. Esse serviço então lançava komari-agent.exe, abria uma sessão WebSocket para o servidor do atacante e permitia a execução remota arbitrária de comandos no host.

Mitigação

A Huntress respondeu isolando a estação de trabalho comprometida, desativando a conta de usuário afetada e parando o serviço Komari criado pelo NSSM. A conexão WebSocket maliciosa foi bloqueada, e o mecanismo de persistência foi removido do sistema. As defesas recomendadas incluem apertar os controles de acesso VPN, monitorar a criação de serviços suspeitos, inspecionar a atividade de saída do WebSocket e reforçar a segurança do RDP.

Resposta

Os defensores devem detectar a criação de um serviço do Windows chamado Serviço de Atualização do Windows que aponta para komari-agent.exe, monitorar conexões WebSocket de longa duração para hosts desconhecidos e alertar sobre o uso de ferramentas Impacket como smbexec.py para movimento lateral. Se identificados, o endpoint afetado deve ser contido imediatamente, credenciais comprometidas revogadas, e o serviço invasor removido do ambiente.

graph TB %% Class Definitions classDef action fill:#99ccff classDef technique fill:#ffcc99 classDef tool fill:#cccccc classDef process fill:#e6e6fa %% Nodes – Actions / Techniques action_initial_access[“Ação – T1078 Contas Válidas Descrição: Utilizar credenciais de VPN roubadas para estabelecer uma sessão SSLVPN e ganhar acesso inicial.”] class action_initial_access technique action_cred_dump[“Ação – T1552.002 Credenciais Não Seguras Descrição: Dump das hives do registro SAM, Sistema e Segurança para obter hashes de senha.”] class action_cred_dump technique action_enable_rdp[“Ação – T1599 Transposição de Fronteira de Rede Descrição: Modificar a chave de registro fDenyTSConnections para habilitar o acesso ao Protocolo de Área de Trabalho Remota.”] class action_enable_rdp technique action_firewall_rule[“Ação – T1562.004 Enfraquecimento de Defesas Descrição: Criar uma regra de firewall chamada Permitir RDP que abre a porta TCP de entrada 3389.”] class action_firewall_rule technique %% Nodes – Tools / Processes tool_vpn[“Ferramenta – Nome: Cliente VPN Propósito: Conectar-se à rede corporativa via SSLVPN.”] class tool_vpn tool process_regdump[“Processo – Comando: reg save HKLM\SYSTEM\… Descrição: Dump das hives do SAM, Sistema e Segurança.”] class process_regdump process process_reg_modify[“Processo – Comando: reg add HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server /v fDenyTSConnections /t REG_DWORD /d 0 /f Descrição: Habilitar RDP através da modificação do registro.”] class process_reg_modify process process_fw_rule[“Processo – Comando: netsh advfirewall firewall add rule name=”Permitir RDP” dir=in action=allow protocol=TCP localport=3389 Descrição: Adicionar regra de firewall para permitir tráfego RDP de entrada.”] class process_fw_rule process %% Connections action_initial_access –>|usa| tool_vpn action_initial_access –>|leva a| action_cred_dump action_cred_dump –>|usa| process_regdump action_cred_dump –>|leva a| action_enable_rdp action_enable_rdp –>|usa| process_reg_modify action_enable_rdp –>|leva a| action_firewall_rule action_firewall_rule –>|usa| process_fw_rule

Komari: A Ferramenta de “Monitoramento” Que Não Precisava Ser Armada

Resumo

Investigação

Mitigação

Resposta

Fluxo de Ataque

Detecções

Padrões de Linha de Comando do Impacket Possíveis (via cmdline)

Possível Execução Remota de Código usando Impacket (via cmdline)

Execução de Arquivo PowerShell em Diretório Suspeito Usando Política de Execução Bypass (via cmdline)

Download ou Upload via PowerShell (via cmdline)

Possíveis Servidores de Área de Trabalho Remota Sombreamento (via criação de processo)

Modificações Suspeitas de Firewall via CLI (via cmdline)

Processo Suspeito Utiliza um URL na Linha de Comando (via cmdline)

Software Alternativo de Acesso / Gerenciamento Remoto (via criação de processo)

IOCs (HashSha256) para detectar: Komari: A ferramenta de ‘Monitoramento’ que não precisou de armamento

IOCs (SourceIP) para detectar: Komari: A ferramenta de ‘Monitoramento’ que não precisou de armamento

IOCs (DestinationIP) para detectar: Komari: A ferramenta de ‘Monitoramento’ que não precisou de armamento

Detecção da Execução de Impacket smbexec.py e cmd.exe via RDP [Criação de Processo Windows]

Execução PowerShell para Instalação do Agente Komari [PowerShell Windows]

Detectar Persistência do Agente Komari via Serviço de Atualização do Windows [Sistema Windows]

Detecção de Acesso SSLVPN Não Autorizado e Atividade Pós-Comprometimento [Firewall]

Execução da Simulação