Ataque cibernético pelo grupo APT28 usando programa malicioso CredoMap_v2 (CERT-UA#4622)

Execução de Simulação

Pré-requisito: A Verificação Prévia de Telemetria e Linha de Base deve ter sido aprovada.

Razão: Esta seção detalha a execução precisa da técnica de adversário (TTP) projetada para acionar a regra de detecção. Os comandos e a narrativa DEVEM refletir diretamente os TTPs identificados e visam gerar exatamente a telemetria esperada pela lógica de detecção. Exemplos abstratos ou não relacionados levarão a um diagnóstico incorreto.

• Narrativa de Ataque & Comandos:
  Um operador APT28 recebe um e-mail de phishing contendo um arquivo RAR protegido por senha. Dentro, há um executável autoextraível (SFX) chamado UkrScanner.exe. Após extrair o arquivo na máquina da vítima, o operador executa o stub SFX, que deixa e executa o malware CredoMap_v2. A execução de UkrScanner.exe cria um evento de criação de processo que corresponde à regra de detecção.

  Passos de Simulação (realizados no host de teste):

  1. Crie um executável fictício chamado UkrScanner.exe (cópia do powershell.exe para segurança).
  2. Inicie o executável fictício para imitar a execução do arquivo SFX pelo atacante.

• Script de Teste de Regressão:

  # ==============================
  # Simulação da execução do CredoMap_v2 a partir do SFX (UkrScanner.exe)
  # ==============================
  $tempPath = "$env:TEMPUkrScanner.exe"
  
  # 1. Preparar uma carga útil inofensiva substituta (cópia do powershell.exe)
  Copy-Item -Path "$env:SystemRootSystem32WindowsPowerShellv1.0powershell.exe" -Destination $tempPath -Force
  
  # 2. Garantir que o arquivo seja executável
  Unblock-File -Path $tempPath
  
  # 3. Executar o stub SFX fictício (simula o atacante executando o arquivo)
  Write-Host "Lançando executável SFX fictício..."
  Start-Process -FilePath $tempPath -ArgumentList "-NoProfile -WindowStyle Hidden" -PassThru
  
  # 4. Pausar para permitir ingestão pelo SIEM
  Start-Sleep -Seconds 5
  Write-Host "Simulação concluída. Verifique o SIEM para uma detecção de criação de processo terminando com 'UkrScanner.exe'."

• Comandos de Limpeza:

  # Pare qualquer processo powershell restante iniciado pelo executável fictício (se houver)
  Get-Process -Name "powershell" -ErrorAction SilentlyContinue | Where-Object {$_.Path -like "*UkrScanner.exe"} | Stop-Process -Force
  
  # Remova o executável fictício
  $tempPath = "$env:TEMPUkrScanner.exe"
  if (Test-Path $tempPath) {
      Remove-Item -Path $tempPath -Force
      Write-Host "Limpeza completa: $tempPath removido"
  }